OpenSSH 10.6p2, выпущенный 5 ноября 2026 года, устраняет критическую уязвимость обхода аутентификации по паролю. На уязвимых системах любой, кто имеет доступ к SSH-порту, может войти в систему без знания пароля.
Если вы используете sshd в Linux на базе musl с отключенными подключаемыми модулями аутентификации (PAM), что характерно для Alpine Linux, обновитесь сегодня.
В Check Point Software наше тестирование добавляет два пункта к публичному бюллетеню. Для атаки требуется вторая учетная запись, которая активна и имеет реальный пароль, поскольку одного сохраненного хеша недостаточно. Два условия также видны удаленно до входа в систему: версия OpenSSH в SSH-баннере и то, принимает ли сервер аутентификацию по паролю. Серверы, которые не предлагают вход по паролю, не подвержены риску.
Без PAM sshd хеширует попытку ввода пароля с помощью crypt() и сравнивает результат с сохраненным полем. Когда у учетной записи нет соли, sshd заимствует соль у другой учетной записи. Функция crypt() в musl возвращает звездочку (*) в качестве ошибки, если входные данные превышают 256 байт, а учетные записи без пароля также хранят *. Таким образом, пароль длиной от 257 до 1024 байт «совпадает», и вход в систему проходит успешно.
Согласно бюллетеню Alpine Linux, атака требует одного соединения, срабатывает каждый раз и не требует повторных попыток.
Все эти условия должны быть истинными:
- sshd работает без PAM в Linux на базе musl, например, в стандартном пакете openssh-server для Alpine или openssh-server-pam с параметром UsePAM, установленным в значение no
- PasswordAuthentication имеет значение yes, что является настройкой OpenSSH по умолчанию
- Учетная запись имеет * в поле пароля, например, пользователи только с ключами, пользователи каталогов через musl-nscd или пользователь alpine в официальных образах tiny-cloud
- По крайней мере одна другая активная локальная учетная запись имеет реальный пароль, сохраненный в виде хеша $5$ или $6$
Последнее условие важно, потому что sshd заимствует соль этой учетной записи. Без этого атака не удастся. Наше тестирование показало, что учетная запись должна быть активной, а не просто содержать хеш.
Root находится в безопасности при настройке по умолчанию PermitRootLogin prohibit-password. Однако любая доступная учетная запись с правами doas или sudo все равно может стать root. По словам разработчика OpenSSH Дэмиена Миллера, системы на базе glibc, не-Linux системы и Linux с PAM не затронуты.
Баннер раскрывает версию OpenSSH, а список разрешенных методов аутентификации сервера показывает, принимает ли он пароли. Остальные условия, включая musl, PAM, состояния учетных записей и хеши паролей, требуют проверки на самом хосте.
Строки версий здесь могут ввести в заблуждение. Исправленные пакеты Alpine сохраняют старые номера версий, например 10.3_p1-r2 в Alpine 3.24, поэтому исправленный хост может выглядеть уязвимым. По состоянию на 5 ноября 2026 года CVE не назначено, поэтому сканеры на основе CVE также могут не отмечать уязвимые системы. Проверяйте хосты на базе musl вручную.
Alpine выпускает исправленные пакеты для версий с 3.16 по 3.24 и edge. Обновитесь, а затем перезапустите sshd, так как обновление пакета не перезапускает работающий демон. Если вы пока не можете установить исправление, установите PasswordAuthentication no.
Чтобы проверить наличие компрометации, поищите в своих журналах записи «Accepted password for» для учетной записи, у которой нет пароля. Если вы не можете исключить факт входа, считайте машину скомпрометированной.
Исправление помогает только на тех хостах, о которых вы знаете, а ошибку без CVE легко пропустить в рабочих процессах, которые начинаются со списков CVE.
Лучшей отправной точкой является контекст активов: какие серверы, доступные из интернета, используют SSH, какие из них принимают пароли и какие из них являются контейнерами Alpine. Управление поверхностью атаки в Check Point Exposure Management предоставляет группам безопасности этот список из одного источника, чтобы они могли сначала исправить уязвимые хосты, а затем двигаться дальше.
Команда OpenSSH выпустила исправление через день после того, как узнала об ошибке. Их аргументация заключается в том, что агенты ИИ теперь обнаруживают ошибки, иногда в течение нескольких часов, поэтому длительные эмбарго в основном помогают злоумышленникам. Релизы следуют той же логике. В 2026 году было выпущено пять релизов, четыре из них после июля, и теперь команда выпускает исправления по мере их готовности.
Планируйте обновление каждые один-два месяца и следите за примечаниями к выпуску или списком рассылки openssh-unix-announce. Линейка 10.x также отказывается от ключей DSA, делает гибридный постквантовый обмен ключами стандартным и начинает процесс устаревания scp -R, поэтому каждое обновление заслуживает быстрой проверки на совместимость.
Сначала исправьте хосты на базе musl, которые запускают sshd без PAM, перезапустите демон и отключите аутентификацию по паролю везде, где вы не можете установить исправление сегодня.
Check Point Exposure Management объединяет аналитику угроз, управление поверхностью атаки (ASM), управление поверхностью атаки киберактивов (CAASM), агентскую проверку уязвимостей (AEV) и безопасное устранение в единый рабочий процесс.
Check Point Threat Intelligence показывает, какие угрозы и злоумышленники нацелены на вашу организацию, в то время как ASM обнаруживает доступные из интернета активы, к которым могут получить доступ злоумышленники, включая те, которые никто не отслеживал. CAASM извлекает данные из инструментов, которыми вы уже владеете, в единую инвентаризацию ваших внутренних активов и показывает, где есть пробелы в покрытии. Агентская проверка уязвимостей затем проверяет, какие уязвимости могут быть использованы в вашей среде, чтобы команды могли сначала действовать в отношении критических находок. Безопасное устранение закрывает эти уязвимости с помощью изменений, проверенных заранее, чтобы исправления не нарушали работу производства.
