OpenSSH Fixes Password Bypass in Alpine Linux: What to Check on the Server

5 ноября 2026 года OpenSSH выпустил срочное исправление обхода парольной аутентификации — CVE-2026-123158. Ошибка касается определённых Linux-систем с библиотекой musl и отключённым PAM, включая Alpine Linux. Владельцам таких VPS и серверов для сайтов, магазинов и интеграций нужно поручить администратору проверку SSH, установку исправленного пакета и перезапуск службы.

Уязвимый SSH может дать постороннему доступ к учётной записи без знания её пароля. Последствия для сайта зависят от прав этой записи: под угрозой могут оказаться файлы, настройки и доступы к связанным системам. В заметках к выпуску OpenSSH исправление названо критическим; запись CVE оценивает ошибку как High, 8,1 по CVSS 3.1. Это разные системы оценки.

Для риска должны одновременно совпасть условия: сервер использует musl; проверка паролей идёт без PAM; парольный вход разрешён; есть учётная запись с особым значением «*» вместо пароля и другая локальная запись с хешем определённого типа. Подробности конфигурации администратору следует сверить с уведомлением Alpine. Сам факт использования SSH-ключей не гарантирует, что парольный вход отключён.

Alpine относит к затронутым обычный пакет openssh-server, собранный без PAM, и openssh-server-pam при отключённом PAM. Контейнеры без запущенного sshd этим путём не затронуты. Нельзя переносить вывод на все Linux-серверы или считать любой сервер Alpine уже взломанным. Для виртуального хостинга проверку серверного доступа выполняет провайдер; обновление CMS сайта эту ошибку не исправляет.

В проекте OpenSSH исправление включено в Portable OpenSSH 10.6p2 от 5 ноября. Alpine перенёс его и в пакеты с более ранними номерами. Поэтому сравнения только с 10.6p2 недостаточно: проверять нужно ветку дистрибутива и полную версию пакета.

• Alpine 3.24 — openssh 10.3_p1-r2.
• Alpine 3.23 — openssh 10.2_p1-r1.
• Alpine 3.22 — openssh 10.0_p1-r11.
• Alpine 3.21 — openssh 9.9_p2-r1.
• Alpine edge — openssh 10.6_p2-r0.

Новые выпуски Alpine 3.21.10, 3.22.8, 3.23.8 и 3.24.4 уже содержат исправленный пакет. Для веток 3.16–3.20 опубликованы отдельные исправления, перечисленные в advisory. Исключительный выпуск патча не означает возобновления обычной поддержки старой ветки. Обновлённый образ также не обновляет автоматически ранее созданный сервер.

• Определить, какой пакет и какая библиотека используются, и проверить эффективные настройки работающего SSH-сервера, включая отдельные правила входа для пользователей.
• Обновить пакет из доверенного репозитория своей ветки и перезапустить sshd: Alpine отдельно предупреждает, что установка пакета не заменяет уже работающий процесс.
• Если обновление пока невозможно, оценить рекомендованное отключение парольной аутентификации. Сначала проверить вход по ключу и резервный доступ через консоль провайдера; текущую сессию сохранить до проверки нового подключения.
• После изменения подтвердить доступ ответственных администраторов и работу зависящих от SSH развёртываний и передачи файлов. Это план проверки, а не результат выполненного нами тестирования.

Обновление устраняет уязвимость, но не последствия возможного проникновения. На ранее открытых и затронутых серверах нужно отдельно изучить неожиданные входы, новые учётные записи и ключи доступа. Сохраните доступные журналы до очистки или перезаписи. При подозрении на вход постороннего организуйте расследование и смену раскрытых секретов с учётом зависимостей. Прочитанные уведомления не подтверждают успешный взлом конкретного клиентского сервера.

Сведения проверены 6 ноября 2026 года, 00:03 МСК. Выпуск OpenSSH и уведомление Alpine датированы 5 ноября; точный час публикации на этих страницах не указан. Речь об исправлении уязвимости, а не о подтверждённой массовой атаке.

On November 5, 2026, OpenSSH released an urgent fix for a password authentication bypass vulnerability, CVE-2026-123158. The flaw affects specific Linux systems using the musl library with PAM disabled, including Alpine Linux. Owners of VPS and servers for websites, stores, and integrations must instruct administrators to verify SSH, install the patched package, and restart the service.

A vulnerable SSH connection can grant unauthorized access to an account without knowing its password. The consequences for a website depend on the permissions of that account: files, settings, and access to connected systems may be at risk. OpenSSH release notes label this fix as critical; the CVE record rates the flaw as High, scoring 8.1 on CVSS 3.1. These are different evaluation systems.

The risk conditions must all be met simultaneously: the server uses musl; password verification occurs without PAM; password-based login is enabled; there is an account with the special value "*" instead of a password, and another local record with a hash of a specific type. Administrators should verify the configuration details against the Alpine notification. The mere use of SSH keys does not guarantee that password login is disabled.

Alpine considers the standard openssh-server package built without PAM, and openssh-server-pam with PAM disabled, as affected. Containers without a running sshd are not affected by this vector. Do not extrapolate the findings to all Linux servers, nor assume any Alpine server is already compromised. For virtual hosting, the provider performs server access checks; updating the site CMS does not fix this vulnerability.

The fix was included in Portable OpenSSH 10.6p2 released on November 5. Alpine backported it to packages with earlier version numbers. Therefore, comparing only against 10.6p2 is insufficient; you must check the distribution branch and the full package version.

• Alpine 3.24 — openssh 10.3_p1-r2.
• Alpine 3.23 — openssh 10.2_p1-r1.
• Alpine 3.22 — openssh 10.0_p1-r11.
• Alpine 3.21 — openssh 9.9_p2-r1.
• Alpine edge — openssh 10.6_p2-r0.

New releases of Alpine 3.21.10, 3.22.8, 3.23.8, and 3.24.4 already include the fixed package. Separate fixes for branches 3.16–3.20 have been published and are listed in the advisory. An exceptional patch release does not mean a return to standard support for the old branch. The updated image also does not automatically update a server created earlier.

• Identify which package and library are in use, and verify the effective settings of the running SSH server, including individual login rules for users.
• Update the package from the trusted repository of your branch and restart sshd: Alpine explicitly warns that installing the package does not replace the already running process.
• If an update is not yet possible, evaluate the recommended disabling of password authentication. First, verify key-based login and reserve access via the provider console; keep the current session until the new connection is confirmed.
• After making changes, confirm access for responsible administrators and the operation of deployments and file transfers dependent on SSH. This is a verification plan, not the result of testing performed by us.

The update fixes the vulnerability but does not address the consequences of a potential breach. On previously exposed and affected servers, you must separately investigate unexpected logins, new user accounts, and access keys. Preserve available logs before cleaning or overwriting them. If unauthorized access is suspected, organize an investigation and rotate compromised secrets while accounting for dependencies. Read notifications do not confirm a successful breach of a specific client server.

Information verified on November 6, 2026, at 00:03 MSK. The OpenSSH release and Alpine notification are dated November 5; the exact publication hour on these pages is not specified. This concerns a vulnerability fix, not a confirmed mass attack.