CVE-2026-123158 : OpenSSH corrige un contournement de l'authentification sur Alpine Linux

OpenSSH a publié en urgence la version 10.6p2 ce 5 novembre 2026. Elle corrige un contournement de l’authentification par mot de passe sur Linux avec musl libc et sans PAM. Alpine Linux est pour l’instant la seule plateforme explicitement identifiée comme concernée. La fiche de CVE-2026-123158 la présente comme un exemple, car d’autres systèmes réunissant la même configuration pourraient également être affectés. La vulnérabilité obtient un score de 8,1 sur 10 selon CVSS 3.1.

L’attaque vise des comptes qui ne possèdent aucun mot de passe valide et dont le champ de mot de passe contient *, par exemple certains comptes réservés aux connexions par clé SSH. Sur un serveur vulnérable, une chaîne arbitraire de 257 à 1 024 octets peut alors être acceptée comme mot de passe.

Pour que l’attaque fonctionne, sshd doit utiliser musl sans PAM, l’option PasswordAuthentication doit être activée et au moins un autre compte local doit posséder un hash $5$ ou $6$. Alpine Linux précise qu’une seule connexion suffit lorsque ces conditions sont réunies. Les systèmes non Linux, ceux qui utilisent glibc et ceux qui passent par PAM ne sont pas affectés.

La correction consiste à installer OpenSSH 10.6p2 ou le paquet corrigé fourni par la distribution, puis à redémarrer sshd. Alpine propose des mises à jour pour ses branches 3.16 à 3.24 ainsi que pour edge.

En attendant la mise à jour, OpenSSH et Alpine recommandent de définir PasswordAuthentication no et de redémarrer le service SSH, après avoir vérifié qu’une connexion par clé fonctionne.

La fiche CVE-2026-123158 a été publiée dans la journée du 5 novembre. Les premiers avis indiquant qu’aucun identifiant n’avait encore été attribué ont été rédigés avant sa publication.

Fiche CVE-2026-123158 · Correctif officiel OpenSSH