OpenSSH CVE-2026-123158はHigh―悪用を観測、更新に加えてSSH認証ログの調査を

JPCERT/CCは2026年11月9日、OpenSSHのCVE-2026-123158について悪用観測を案内しました。修正版の公開は11月5日で、今回の新情報は攻撃の観測と侵害調査の呼びかけです。MITREのCVSS v3.1評価は8.1、High。CVE登録内のCISA情報にも、11月9日の既知悪用脆弱性カタログ（KEV）追加が記録されています。

JPCERT/CCが紹介するGreyNoiseの報告では、11月5日以降に悪用試行があり、7日には観測用環境への認証回避、コマンド実行、C2エージェントの設置が確認されました。これは実環境から届いた攻撃の観測ですが、企業の被害件数を示すものではありません。JPCERT/CCは同公表時点で組織の侵害事例を確認できていないとしています。

対象は10.6p2より前のOpenSSHのうち、musl libcを使用しPAM認証が無効な構成です。さらにパスワード認証が有効で、パスワード欄が「*」のアカウントと、特定形式のハッシュを持つ別アカウントが存在するなどの条件があります。Alpineを利用しているだけで一律に影響するわけではなく、sshdを動かしていないコンテナは対象外です。

Alpineの説明では、パスワード処理のエラーを表す値が保存値と一致し、正しいパスワードなしで認証が通ります。対策は利用系列の修正済みopensshパッケージへの更新とsshdの再起動です。旧版に修正を戻したパッケージもあるため、上流の10.6p2との数字比較だけで判断せず、公式の修正版一覧を照合してください。

外部から接続できたホストでは、更新と並行してSSH認証ログを調べます。パスワードログインを禁止していたアカウントへの「Accepted password for」、不審なdoasの利用、ユーザーや公開鍵の追加が確認対象です。更新は将来の認証回避を防ぐ処置であり、すでに設置された不審なプログラムの除去を保証しません。Alpineは不正ログインを否定できなければ侵害されたものとして扱うよう案内しています。