OpenSSH发布紧急更新修复“SSHole”身份验证绕过漏洞，影响基于musl的Linux系统
OpenSSH于11月5日发布10.6p2版本，修复了CVSS评分为8.1的身份验证绕过漏洞CVE-2026-123158。该漏洞允许攻击者通过输入长密码字符串登录未设置密码的账户，主要影响Alpine Linux等使用musl C库的系统。
OpenSSH开发团队于2026年11月5日发布了紧急更新版本10.6p2，旨在修复一个被命名为“SSHole”（CVE-2026-123158）的高严重性身份验证绕过漏洞。该漏洞的CVSS严重程度评分为8.1，允许攻击者在SSH连接的密码字段中输入长度介于257至1,024个字符的任意字符串，从而可能登录原本没有设置密码的账户。
此漏洞可追溯至2016年发布的OpenSSH 7.3p1版本，意味着近十年来的多个版本都可能受到影响。然而，并非所有用户都面临风险。SSHole仅影响同时满足以下三个条件的特定Linux操作系统：采用musl C程序库、OpenSSH未启用PAM（Pluggable Authentication Modules）、且SSH密码验证功能保持开启。受影响的主要发行版包括Alpine Linux、OpenWrt和postmarketOS，以及部分基于这些系统的Docker映像档。
资安研究公司Wakefield指出，该漏洞的形成源于三个独立项目的安全机制调整意外组合所致：musl在2012年限制了密码长度以防止拒绝服务攻击；OpenSSH在2016年修改了部分账户的密码验证方式以避免时间差异泄露信息；Alpine则在2022年调整了root账户的密码字段设定以支持SSH密钥登录。这些各自解决不同问题的变更最终构成了可被利用的验证绕过条件。Wakefield借助AI工具于11月3日发现该漏洞并通报相关团队，随后OpenSSH和Alpine Linux迅速发布了修补套件。
对于无法立即更新OpenSSH的管理员，Wakefield提供了临时缓解措施：在SSH服务器配置中停用PasswordAuthentication选项并重启服务。此外，管理员应检查SSH登录记录，若发现密码字段为“*”且出现“Accepted password”记录，应视为可能遭受SSHole攻击的迹象，需进一步调查系统是否已被入侵。