OpenSSH CVE-2026-123158はHigh―Alpineなどでパスワード認証回避、更新後のsshd再起動も必要
musl libcとPAM無効の組み合わせが対象。鍵認証用のアカウントでも、サーバー側でパスワード認証が有効なら条件次第で侵入を許します。
OpenSSH・Alpineの公表日：2026-11-05 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約3分
OpenSSHとAlpine Linuxは2026年11月5日、パスワード認証を回避できる問題を公表しました。CVE-2026-123158のMITREによるCVSS v3.1評価は8.1、High。OpenSSHは重要な修正として10.6p2を公開しています。Linux上でmusl libcを使い、PAMを無効にしたsshdが対象です。
Alpineでは、パスワード欄が「*」のアカウント、別のローカルアカウントの特定形式のパスワードハッシュ、PasswordAuthentication yesがそろうと成立します。muslのパスワード処理が返すエラー値と保存値が一致し、正しいパスワードなしでログインを許す仕組みです。鍵だけで使うユーザーも対象になり得ます。
sshdを動かしていないコンテナや、PasswordAuthentication noの構成は対象外です。rootへのパスワードログインを禁じる標準設定もrootを保護しますが、別ユーザーからdoasなどで権限を上げられる構成まで保護するものではありません。
Alpineの修正版は3.24系が10.3_p1-r2、3.23系が10.2_p1-r1、3.22系が10.0_p1-r11などで、旧系列にも修正が提供されています。上流の10.6p2より小さい番号でもバックポート済みの版があります。利用系列の公式表と照合し、パッケージ更新後はsshdを再起動してください。更新だけでは稼働中のプロセスは置き換わりません。
すぐ更新できない場合、Alpineはパスワード認証の無効化とsshd再起動を案内しています。先に鍵で新規ログインできることを確認し、接続中のセッションを保持して設定を変更します。公開していたホストでは、パスワード未設定ユーザーへのAccepted passwordの記録や、doasの使用履歴も確認対象です。
出典と編集について
Alpine Linux：Security advisory: openssh-server password authentication bypass ↗本記事は公表資料に基づく速報です。判明した範囲を記載しており、続報で内容が変わる場合があります。