OpenBSD OpenSSH · «SSHole»
«SSHole» – OpenBSD OpenSSH sshd: bypass dell'autenticazione con password su Linux con musl libc, già sfruttata
Il problema, secondo i dati ufficiali
- Il servizio sshd di OpenSSH su Linux, quando usa musl libc senza PAM, non ha una protezione contro un bypass dell'autenticazione a password, legato a un errore nel capire se una stringa è un hash di password.
- Per alcune configurazioni degli account, qualsiasi password lunga tra 256 e 1024 caratteri viene accettata.
- Secondo il punteggio ufficiale, la falla si sfrutta via rete, quindi anche da internet se il servizio è esposto, senza bisogno di un account.
- Un esempio di piattaforma con musl libc senza PAM è Alpine Linux.
- È già usata in attacchi reali: la CISA l'ha inserita nel catalogo delle vulnerabilità sfruttate il 09/11/2026.
Cosa fare
- Aggiorna OpenSSH alla versione 10.6p2 o successiva.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
- Se è stato esposto, controlla anche che nessuno sia già entrato: utenti nuovi, file modificati, accessi strani nei log.
Versioni interessate
- OpenSSH: prima della 10.6p2
Ne parlano
- OpenSSH: potenziale bypass dell'autenticazione su sistemi Linux basati su musl libc — CSIRT Italia, 10 novembre 2026
- Hackers exploit SSHole OpenSSH flaw to breach Linux systems — BleepingComputer, 9 novembre 2026
- ⚡ Weekly Recap: SSHole Exploited, APT Root RCE, Robot Takeovers, 15K Hacked Sites, and More — The Hacker News, 9 novembre 2026
- Hackers Exploiting ‘SSHole’ Authentication Bypass in OpenSSH — SecurityWeek, 9 novembre 2026
- CVE-2026-123158 | OpenSSH musl Password Authentication Bypass & Remote Code Execution Vulnerability (*sshole) — Horizon3, 7 novembre 2026
- Hackers Target OpenSSH SSHole Flaw Within Hours of Disclosure, Gain Root on Honeypot — The Hacker News, 6 novembre 2026
- OpenSSH Rushes Patches for ‘SSHole’ Authentication Bypass — SecurityWeek, 6 novembre 2026
Fonti ufficiali
- www.openssh.org — avviso del produttore
- alpinelinux.org — avviso del produttore
- nvd.nist.gov — avviso del produttore
- www.openssh.org — riferimento
- github.com — riferimento
Descrizione ufficiale (in inglese)
sshd in OpenSSH before 10.6p2 on Linux, when musl libc is used without PAM, lacks a workaround for a password authentication bypass (related to misinterpretation of whether a string is intended to be a password hash). For some configurations of accounts, any password between 256 and 1024 characters succeeds. An example of a platform using musl libc without PAM is Alpine Linux.
Non sai se ti riguarda?
Se usi OpenBSD OpenSSH e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 13 novembre 2026. Prima di intervenire verifica l'avviso del produttore.