sshole (CVE-2026-123158): Netzwerk prüfen

CVE-2026-123158, genannt „sshole“ (auch sshhole geschrieben), erlaubt einen SSH-Login mit einem sehr langen Passwort auf Linux-Systemen, auf denen sshd aus OpenSSH gegen die musl libc ohne PAM gebaut ist; das bekannteste Beispiel ist Alpine Linux. Behoben ist die Lücke in OpenSSH 10.6p2, veröffentlicht am 5. November 2026; bis zum Update schließt das Abschalten der Passwort-Anmeldung sie. Die meisten verbreiteten Server-Distributionen nutzen glibc und PAM und liegen außerhalb der betroffenen Konfiguration. Das Risiko konzentriert sich auf Alpine-Hosts, auf Alpine basierende Container mit sshd und Embedded-Linux-Images.

Wer betroffen ist und wer nicht

Der CVE-Eintrag beschreibt es so: sshd in OpenSSH vor 10.6p2 fehlt unter Linux, wenn musl libc ohne PAM verwendet wird, ein Workaround gegen eine Umgehung der Passwort-Authentifizierung; bei manchen Kontokonfigurationen funktioniert jedes Passwort mit 256 bis 1.024 Zeichen. Der Eintrag bewertet die Lücke mit 8,1 (hoch) nach CVSS 3.1.

Der Mechanismus, wie Alpine und mehrere Sicherheitsforscher ihn beschreiben: Ohne PAM prüft sshd ein Passwort, indem es die Funktion crypt() der C-Bibliothek aufruft und das Ergebnis mit dem Eintrag des Kontos in /etc/shadow vergleicht. Bei einer überlangen Eingabe schlägt crypt() in musl fehl und gibt die Zeichenkette * zurück. Konten, die sich nicht per Passwort anmelden sollen, haben oft genau * als Shadow-Eintrag. Der Fehlerwert passt also, und sshd akzeptiert die Anmeldung. Ein Konto mit echtem Passwort-Hash öffnet sich so nicht: Der Fehlerwert passt nicht zum Hash.

• Betroffene Konfiguration: OpenSSH älter als 10.6p2, musl libc, kein PAM, Passwort-Authentifizierung aktiv und mindestens ein Konto, dessen Shadow-Eintrag nur * ist. Der Standard-Build von OpenSSH in Alpine hat kein PAM. Forscher nennen unter den gefährdeten Konten Nutzer, die sich nur per Schlüssel anmelden, und den Standardnutzer der Alpine-Cloud-Images. Auch root hat in Alpine standardmäßig *, doch die Voreinstellung PermitRootLogin prohibit-password lehnt einen Passwort-Login für root ab.
• Nicht betroffen laut CVE-Eintrag: Distributionen auf glibc-Basis und sshd-Builds mit PAM. Dropbear, der Standard-SSH-Server von OpenWrt, ist ein anderes Programm als OpenSSH und nicht das im Eintrag genannte Produkt; ein OpenWrt-Gerät kommt nur infrage, wenn darauf der OpenSSH-Server installiert wurde.
• Ausnutzung: Proof-of-Concept-Code ist öffentlich. Das Threat-Intelligence-Unternehmen Previdian meldet, seine Sensoren hätten Ausnutzungsversuche beobachtet. Andere Berichte, etwa von Safe Security, sahen am 6. November 2026 keine bestätigte Ausnutzung in freier Wildbahn, und die CISA hatte die CVE nicht in ihren Katalog Known Exploited Vulnerabilities aufgenommen. Behandeln Sie jeden betroffenen Host, der SSH-Passwörter aus dem Internet annimmt, in jedem Fall als dringend.

10-Minuten-Check für Admins

Scannen Sie nur Netzwerke, die Ihnen gehören oder für deren Test Sie autorisiert sind.

Schritt 1: SSH-Dienste finden

Listen Sie von einem Host im Netzwerk alles auf, was auf Port 22 antwortet, samt der Softwareversion, die es meldet. Ersetzen Sie den Beispielbereich durch Ihre eigenen Subnetze:

nmap -p 22 --open -sV 192.0.2.0/24

Beziehen Sie Container-Hosts und Labornetze ein. Ein sshd im Container kann auf einem anderen Port veröffentlicht sein; prüfen Sie deshalb auch die Port-Mappings Ihrer Container-Plattform.

Schritt 2: OpenSSH-Version und C-Bibliothek auf jedem Host prüfen

ssh -V zeigt die installierte OpenSSH-Version. ldd --version gibt auf einem musl-System musl libc aus, auf einem glibc-System deren Version. Unter Alpine zeigt apk info -v | grep openssh die genauen Paketversionen.

ssh -V
ldd --version 2>&1 | head -1

Schritt 3: prüfen, ob Passwort-Logins aktiv sind

Geben Sie als root die Konfiguration aus, mit der sshd tatsächlich läuft. passwordauthentication no bedeutet, dass dieser Weg auf dem Host geschlossen ist.

sshd -T | grep -i passwordauthentication

Schritt 4: Konten mit einem bloßen * auflisten

Das sind die Konten, die die Umgehung öffnen kann:

awk -F: '$2 == "*" { print $1 }' /etc/shadow

Ein Host ist exponiert, wenn alle vier Punkte zutreffen: betroffene OpenSSH-Version, musl, Passwort-Authentifizierung aktiv und mindestens eines der aufgelisteten Konten darf sich per SSH anmelden.

Der Fix

1. OpenSSH auf 10.6p2 oder das korrigierte Paket Ihrer Distribution aktualisieren. Unter Alpine lautet die veröffentlichte Anweisung apk upgrade -U -a.
2. sshd neu starten. Der laufende Daemon nutzt den alten Code bis zum Neustart; unter Alpine rc-service sshd restart.
3. Bis zum Update PasswordAuthentication no setzen in sshd_config und sshd neu laden. Wer sich ohnehin per Schlüssel anmeldet, merkt davon nichts; es ist die Übergangslösung, die die Advisories empfehlen.
4. Container-Images neu bauen, die sshd auf Alpine-Basis ausführen, und neu ausrollen: Ein Patch auf dem Host patcht nicht das Image.
5. Jüngste SSH-Anmeldungen prüfen auf betroffenen Hosts, besonders erfolgreiche Passwort-Logins bei Konten, die sonst Schlüssel nutzen oder sich nie anmelden.

Was Netzwerk-Monitoring sieht und was nicht

SSH ist verschlüsselt; das Passwort geht nie lesbar über das Netzwerk. Ein Netzwerksensor sieht weder das Passwort noch seine Länge und kann nicht sagen, ob genau diese Lücke genutzt wurde: Diese Spur liegt in den Logs des Hosts.

Was Netzwerk-Monitoring sieht, ist das Verhalten rund um eine Kompromittierung. NetSenX bewertet, wie sich jeder Host im Netzwerk verhält, und markiert Scans, laterale Bewegung, C2-Beaconing und ungewöhnliches ausgehendes Datenvolumen, in jedem Plan, auch im Free-Plan. Ein Host, der plötzlich SSH-Sitzungen von Quellen annimmt, mit denen er nie kommuniziert hat, oder ein Alpine-Container, der nach einem Login andere interne Hosts anspricht, ist genau die Art von Veränderung, für die diese Erkennungen da sind. Jeder Alarm erklärt in verständlicher Sprache, warum er ausgelöst wurde. Nutzen Sie das zusätzlich zu den Host-Prüfungen oben, nicht stattdessen.

Wenn Sie nicht sicher sind, ob schon jemand im Netzwerk ist, nennt Woran Sie erkennen, ob jemand in Ihrem Netzwerk ist die Anzeichen und kostenlose Prüfungen, Laterale Bewegung und C2-Beaconing erkennen ordnet zu MITRE ATT&CK zu, was auf einen Login folgt, und NDR, EDR und SIEM im Vergleich erklärt, welches Werkzeug was sieht. Der Free-Plan überwacht bis zu 3 Geräte ohne Zeitlimit; siehe Preise.

FAQ

Quellen

Alle abgerufen am 6. November 2026.

• CVE-2026-123158, CVE-Eintrag (cvelistV5) — Beschreibung, betroffene Versionen, CVSS-3.1-Wert 8,1, veröffentlicht am 5. November 2026
• Alpine Linux — OpenSSH password authentication bypass — das Advisory der Distribution
• OpenSSH release notes, 10.6p2
• OX Security — OpenSSH password authentication bypass on Alpine Linux — Mechanismus und gefährdete Konten
• Previdian — CVE-2026-123158 exploitation attempts observed
• Safe Security — SSHole: high-severity OpenSSH vulnerability — Stand der Ausnutzung am 6. November 2026

Verfasst vom NetSenX Team bei TriStiX S.L. Dieser Artikel ist eine allgemeine Information auf Grundlage der oben genannten öffentlichen Quellen, Stand 6. November 2026; die für Sie geltenden Paketversionen finden Sie im Advisory Ihrer Distribution. Fragen: info@netsenx.com.