OpenSSH 10.6p2 corrige un bypass de autenticación, CVE-2026-123158, que afecta a determinadas instalaciones de sshd sobre Linux con musl y PAM desactivado. Alpine publicó paquetes corregidos para sus ramas y pidió actualizar y reiniciar el servicio; GreyNoise ha observado intentos de explotación y acceso conseguido en sus sensores. El alcance es específico, pero el impacto exige comprobarlo hoy en servidores y appliances basados en Alpine.
Qué se ha corregido
El equipo de OpenSSH publicó 10.6p2 el 5 de noviembre de 2026 con un workaround de seguridad para sistemas Linux que usan la biblioteca musl y ejecutan el servidor sin PAM. El proyecto describe la causa raíz como externa a sshd, pero reconoce que el comportamiento era explotable a través del daemon y que el propio daemon puede evitarlo.
El problema no afecta a todo OpenSSH ni a todo Linux. La combinación de plataforma, biblioteca C, configuración de PAM y política de contraseñas es la que determina la exposición. Actualizar un paquete que no corresponde a la distribución o mirar solo el número de versión de OpenSSH puede producir una falsa sensación de seguridad, porque Alpine ha mantenido correcciones propias en ramas con números distintos.
Quién está expuesto
La alerta de Alpine afecta a sistemas que ejecutan openssh-server sin PAM, o openssh-server-pam con UsePAM no, tienen habilitada la autenticación por contraseña y contienen cuentas cuyo campo de contraseña está configurado con *. También hace falta que exista al menos otra cuenta local con un hash $5$ o $6$, según el escenario descrito por la distribución.
En la práctica, hay que revisar máquinas virtuales Alpine, imágenes cloud, appliances, contenedores que realmente ejecuten sshd y compilaciones basadas en musl. Un contenedor que no inicia un servidor SSH no entra en el alcance. Tampoco los sistemas que usan openssh-server-pam con UsePAM yes, los que tienen PasswordAuthentication no o los que no contienen hashes de contraseña del tipo requerido. Que una cuenta tenga root:* no implica por sí solo acceso a root: PermitRootLogin prohibit-password lo bloquea por defecto.