重要ポイント
- 何が起きたか: OpenSSH の sshd で、パスワードが無効なはずのアカウントにパスワード認証でログインされる欠陥(CVE-2026-123158、通称 sshole)が見つかりました。
- 対象: musl libc を使う Linux(Alpine Linux など)で、PAM を使わない構成の OpenSSH 10.6p2 より前。CVSS 8.1(重要)。
- 悪用: セキュリティ企業 Previdian が、公開から9時間未満で攻撃を観測し、ハニーポットで root 権限の取得を確認。CISA の KEV には11月7日時点で未追加。
- 修正版: OpenSSH 10.6p2(2026年11月5日公開)またはディストリビューションの修正パッケージ。
- Amazon Linux 2023: AWS は「影響なし(Not Affected)」と記載。glibc と PAM を使うため対象外です。
バージョンと対処(まずここを確認)
| 製品 | 影響を受けるバージョン | 修正版(これ以上にする) |
|---|---|---|
| OpenSSH(musl libc の Linux、PAM なし) | 10.6p2 より前 | 10.6p2 |
| Alpine Linux の openssh-server | 3.16〜edge の修正前パッケージ | 11月5日公開の修正パッケージ(各ブランチ) |
| Amazon Linux 2023(openssh) | 影響なし(Not Affected) | 対応不要(ALAS なし) |
| glibc の Debian・Ubuntu・Fedora・RHEL | 影響なし(Red Hat も対象外と公表) | 対応不要 |
対処: Alpine なら apk update && apk upgrade openssh で修正パッケージに更新し、sshd を再起動します(再起動しないと古いプロセスが接続を受け続けます)。すぐ更新できないときは PasswordAuthentication no にして鍵認証だけにするか、SSH を止めてください。
確認: cat /etc/os-release と apk info -v openssh-server。Docker イメージが Alpine ベースかどうかは docker run --rm イメージ名 cat /etc/os-release で確かめられます。
概要
2026年11月5日に OpenSSH 10.6p2 が公開され、パスワード認証の回避(CVE-2026-123158)が修正されました。musl libc 上で PAM を使わない sshd が対象で、Alpine Linux の標準設定が該当します。Previdian は公開から9時間未満で攻撃を観測しています。EC2 の Amazon Linux 2023 は対象外ですが、Alpine ベースのコンテナや組み込み用途の Linux を使っている場合は、早めに更新してください。
影響と対処
影響を受けるもの
musl libc を使う Linux 上の OpenSSH で、PAM を経由せずにパスワードを確認する構成です。Alpine Linux、OpenWrt、Buildroot、Yocto、musl ベースの Docker イメージなどが該当しうるとされています。攻撃には、パスワードのハッシュが * になっている(パスワードで入れないはずの)アカウントが1つ以上あることが前提です。
影響を受けないもの
glibc ベースの Linux(Debian・Ubuntu・Fedora・Amazon Linux 2023 など)、PAM でパスワードを確認する構成、Dropbear、OpenBSD は対象外とされています。
どんな問題か
パスワードが無効化されているアカウントに対し、パスワード認証の確認が正しく働かず、ログインが通ってしまう認証の欠陥です。攻撃の手順は書きません。GitHub に出回っている PoC には、検証されておらずマルウェアを含む可能性があるものがあるため、手元で試さないでください。
対処方法
- 修正パッケージ(OpenSSH 10.6p2 相当)へ更新し、sshd を再起動する。
- 更新できないうちは
PasswordAuthentication noにして鍵認証に限定するか、SSH を止める。 - Alpine ベースのコンテナイメージは、ベースイメージを更新して再ビルドする。
確認方法
/var/log/messages で、パスワードを持たないはずのアカウント(root・鍵だけのユーザーなど)に対する「Accepted password for」の記録、新しいユーザー、authorized_keys の変更を確認します。不正ログインを否定できないときは、侵害されたものとして扱うよう Alpine が案内しています。
対応チェックリスト
- musl 系(Alpine など)の SSH サーバーとコンテナイメージを洗い出す
- 修正パッケージへ更新して sshd を再起動する
- 鍵認証だけにする設定(PasswordAuthentication no)を確認する
- 「Accepted password for」のログと authorized_keys を点検する
出典
- OpenSSH flaw exploited in the wild just hours after disclosure(Help Net Security・2026年11月6日)
- Hackers Target OpenSSH SSHole Flaw Within Hours of Disclosure(The Hacker News・2026年11月6日)
- CVE-2026-123158(Amazon Linux Security Center)
- OpenSSHのパスワード認証回避の脆弱性 CVE-2026-123158 についてまとめてみた(piyolog・2026年11月6日)
