OpenSSH發布緊急更新，修補可利用長密碼繞過身分驗證的資安漏洞SSHole

OpenSSH開發團隊於11月5日發布緊急更新10.6p2，受到資安界高度關注，原因是其中修補能透過長密碼利用的身分驗證繞過漏洞SSHole（CVE-2026-123158），問題源自OpenSSH與musl C程式庫之間的密碼驗證處理方式。攻擊者只要透過SSH連線，在密碼欄位輸入長度介於257至1,024個字元的任意字串，就可能登入原本沒有設定密碼的帳號，CVSS嚴重程度評分為8.1。

此漏洞可追溯至2016年發布的OpenSSH 7.3p1，換言之，近10年版本都可能受到影響。不過，SSHole並非影響所有的用戶，僅影響採用musl C程式庫、OpenSSH未啟用PAM、SSH密碼驗證功能保持開啟等特定Linux作業系統，包含Alpine Linux、OpenWrt、postmarketOS等發行版，以及部分的Docker映像檔。其中最受到關注的就是Alpine Linux，該開發團隊也呼籲用戶儘速採取行動因應。

通報漏洞的資安研究公司Wakefield指出，該問題形成的原因，來自3個專案程式碼變更：musl於2012年調整密碼雜湊錯誤回報機制，並限制密碼長度以防止阻斷服務；OpenSSH於2016年修改部分帳號的密碼驗證方式，以避免時間差異洩漏資訊；Alpine則於2022年調整root帳號的密碼欄位設定，讓SSH金鑰登入得以正常運作。這些原本各自解決不同問題的變更，最終組合出可被利用的驗證繞過條件。Wakefield借助AI的力量，於11月3日成功發現SSHole並通報OpenSSH團隊，隔天也通報Alpine Linux與must團隊，5日OpenSSH發布更新，Alpine Linux也釋出完成修補的套件，Wakefield也架設專屬網站說明相關細節，並提供弱點檢查工具。

假若無法及時更新OpenSSH，Wakefield也提供臨時緩解措施，管理者可在SSH伺服器設定中停用PasswordAuthentication設定，並重新啟動服務。此外，管理者也應檢查SSH登入記錄，若發現密碼欄位為「*」，且該帳號出現Accepted password記錄，應視為可能遭到SSHole漏洞利用攻擊，進一步調查系統是否已遭入侵。