sshole (CVE-2026-123158): Alpine Linuxに影響を与えるOpenSSHの欠陥とその修正方法

による Eoin Villarin, 2026-11-07

- OpenSSHにssholeと名ついろう。こはAlpine Linuxやmuslをベースとするシステムに、パスワードないアカウントにヒィスろるるるとしており、すでにくはたられている。それは谁が影響を受けるのか、サーバをチィケにする方母、そこを補修する方母を。

ssholeと呼ばれる、新たに公開されたOpenSSHの脆弱性（CVE-2026-123158）は、パスワードを受け付けないように設計された特定のLinuxアカウントに攻撃者がログインできるようにします。この脆弱性は、Alpine Linuxなどのmuslベースのシステム上のOpenSSHに影響を与え、2026年11月5日に修正され、公開されてから9時間以内に攻撃者が使用を開始しました。Alpineサーバー、SSHを使用したAlpineベースのDockerイメージ、またはOpenWrt上の小型デバイスを実行している場合、今日チェックしてください。

sshole OpenSSHの脆弱性とは何ですか？

muslベースのシステムでは、Cライブラリのcrypt（）関数は、パスワードをハッシュできない場合（たとえば、パスワードが256バイトの制限を超えている場合）に、単一のアスタリスク（*）を返します。多くのLinuxシステムも、パスワードフィールドで単一の*を使用して、「このアカウントにはパスワードがない」という意味を表します。OpenSSHは2つを比較し、*を見て、一致しているとみなしました。オーバーサイズのパスワードを送信するだけで、パスワードのないアカウントにログインするのに十分でした。

この動作は、OpenSSHのパスワード処理の2016年変更にまで遡ります。セキュリティ研究者のÖzgünKültekinは、約17,600の認証テストを実行するAIエージェントを使用してそれを見つけました。CVEのCVSS 3.1スコアは8.1で、Highと評価されており、OpenSSH 10.6p2で修正が提供されました。

影響を受けますか？

サーバーは、以下の条件がすべて当てはまる場合にリスクがあります。

• Alpine Linux、OpenWrt、Buildroot、またはYoctoなどのmuslベースのシステムで、OpenSSH 10.6p2より古いバージョンを実行しています。
• sshdはPAMを使用しません。これはAlpineのopenssh-serverパッケージのデフォルトです。
• SSHパスワードログインが有効になっていますが、OpenSSHのデフォルトです。
• 少なくとも1つのアカウントのパスワードフィールドには、実パスワードハッシュを持つアカウントの横に*のみが含まれています。

Alpineの公式AWSおよびAzureクラウドイメージ（バージョン3.18.11から3.24.3）は深刻な問題です。これらのイメージには、パスワードがなく、パスワードなしのdoasが含まれるデフォルトのalpineユーザーが含まれているため、ログインが成功するとrootになる可能性があります。

影響を受けていません： Debian、Ubuntu、Fedoraなどのglibcベースのシステム、PAM、Dropbear、OpenBSDを介してパスワードをチェックするセットアップ。実際のパスワードハッシュを持つアカウントは、この方法ではバイパスできません。

サーバーを確認する方法

sshdを実行する各Alpineサーバーまたはコンテナで、これをrootとして実行してください。

1. SSH設定を確認してください： sshd -T | grep -i -E 'passwordauthentication|usepam'。パスワード認証がオフの場合やPAMがオンの場合、この脆弱性は使用できません。
2. インストールされたパッケージを確認してください： apk list --installed | grep openssh、そして以下の修正されたバージョンと比較してください。
3. パスワードのないアカウントを一覧表示します： awk -F: '$2=="*" {print $1}' /etc/shadow.
4. これらのアカウントへのログインを探します： grep "Accepted password" /var/log/messages。パスワードフィールドに*があるアカウントへのパスワードログインは、サーバーが攻撃された可能性が高いことを意味します。

Alpine LinuxでのCVE-2026-123158の修正方法

Alpineは、3.16からedgeまでのすべてのブランチのパッチが適用されたパッケージを公開日の同じ日に出荷しました。 sshdを更新して再起動してください。更新をインストールしても、実行中のプロセスは再起動されないためです。

apk upgrade -U -a そしてその後 rc-service sshd restart

Dockerの場合、opensshを含むすべてのイメージを新しいベースイメージから再構築し、再度デプロイしてください。Docker Hub上のいくつかのSSHイメージ（linuxserverのopenssh-serverなど）は、デフォルトでパスワードログインをオフにしますが、PASSWORD_ACCESS=trueが設定されると露出します。

Alpine 3.16より古いリリースは、修正されたパッケージを取得しません。サポートされているリリースにアップグレードするか、以下の回避策を使用してください。

簡単な回避策：SSHパスワードログインをオフにします

すぐに更新できない場合は、 PasswordAuthentication no /etc/ssh/sshd_configで、sshdを再起動し、sshd -Tチェックを再度実行してください。 これを行う前に、SSHキー ログインが機能するかどうかを確認してください。そうしないと、自分でロックアウトされる可能性があります。 キーのみを使用するSSHは、サーバーにとって良いデフォルトです。

影響を受けた場合の対処方法

• doasの使用状況、最近作成されたユーザー、およびすべてのauthorized_keysファイルをレビューしてください。
• 不明なプロセス、cronジョブ、および送信接続を確認してください。
• 侵害の可能性を排除できない場合は、サーバーが侵害されたものとして扱ってください：クリーンなイメージから再構築し、保持していたすべてのパスワード、キー、トークンをローテーションしてください。
• サーバーをテストするために、GitHubから概念実証のエクスプロイトをダウンロードしないでください。研究者たちは、一部のエクスプロイトは検証されておらず、マルウェアが含まれている可能性があると警告しています。

サーバーのパッチを適用することは、私の仕事の大きな部分です。 ウェブサイトのメンテナンス 私はクライアントのために行っています。ホスティング、Dockerの設定、またはSSHの設定を確認する支援が必要な場合は、 お問い合わせ.

よくある質問

Ubuntu または Debian は sshole の影響を受けますか。

いいえ。Debian、Ubuntu、Fedora およびその他の glibc ベースのシステムは影響を受けず、PAM を使用してパスワードチェックを行う設定も影響を受けない。

キーだけの SSH は保護してくれますか。

はい。PasswordAuthentication が no に設定されている場合、サーバーはパスワードを受け入れないため、脆弱性は使用できない。

CVE-2026-123158 は悪用されていますか。

はい。脅威インテリジェンス企業 Previdian は、CVE が公開されてから 9 時間以内に最初の攻撃を発見し、Alpine Linux を実行しているハニーポットで攻撃者が root を取得した。

どの OpenSSH バージョンで修正されますか。

OpenSSH 10.6p2。Alpine では、ブランチのパッチが適用された openssh パッケージをインストールし、sshd を再起動する。

Docker コンテナは影響を受けるか。

パスワードログインが有効な sshd を実行する Alpine ベースのコンテナは影響を受ける可能性がある。更新された基本イメージから再構築し、再デプロイする。

更新後に再起動する必要はありますか。

はい。実行中の sshd は、サービスを再起動するまで、脆弱なコードをメモリに保持します。

出典

• BleepingComputer: OpenSSHの脆弱性により、攻撃者はパスワードが無効なLinuxアカウントにログインできます
• Help Net Security: OpenSSHの脆弱性が公開後すぐに悪用される
• Cycode: sshole OpenSSH パスワードバイパス on Alpine Linux
• Orca Security: Alpine Linuxでのsshole認証バイパス