sshole (CVE-2026-123158): verifichi la rete

La CVE-2026-123158, soprannominata «sshole» (scritta anche sshhole), consente di accedere via SSH con una password molto lunga sui sistemi Linux in cui il sshd di OpenSSH è compilato con musl libc senza PAM; l'esempio più noto è Alpine Linux. È corretta in OpenSSH 10.6p2, pubblicata il 5 novembre 2026, e disattivare l'autenticazione con password la chiude in attesa dell'aggiornamento. La maggior parte delle distribuzioni server più diffuse usa glibc e PAM e resta fuori dalla configurazione vulnerabile; il rischio si concentra su host Alpine, container basati su Alpine che eseguono sshd e immagini Linux embedded.

Chi è colpito e chi no

Il record CVE la descrive così: sshd in OpenSSH prima della 10.6p2, su Linux, quando si usa musl libc senza PAM, non ha una contromisura per un aggiramento dell'autenticazione con password; per alcune configurazioni di account funziona qualsiasi password tra 256 e 1.024 caratteri. Il record le assegna 8,1 (alta) in CVSS 3.1.

Il meccanismo, come lo descrivono Alpine e diversi ricercatori di sicurezza: senza PAM, sshd verifica una password chiamando la funzione crypt() della libreria C e confrontando il risultato con la voce dell'account in /etc/shadow. Con un input troppo lungo, crypt() di musl fallisce e restituisce la stringa *. Gli account che non devono accedere con password hanno spesso proprio * come voce shadow: il valore di errore coincide e sshd accetta l'accesso. Un account con un vero hash della password non si apre in questo modo: il valore di errore non coincide con l'hash.

• Configurazione vulnerabile: OpenSSH precedente alla 10.6p2, musl libc, nessun PAM, autenticazione con password attiva e almeno un account la cui voce shadow è un semplice *. La build predefinita di OpenSSH in Alpine non ha PAM. I ricercatori citano tra gli account esposti gli utenti che accedono solo con chiave e l'utente predefinito delle immagini cloud di Alpine; anche root ha * per impostazione predefinita su Alpine, ma il valore predefinito PermitRootLogin prohibit-password rifiuta l'accesso di root con password.
• Fuori da essa, secondo il record CVE: le distribuzioni basate su glibc e le build di sshd che usano PAM. Dropbear, il server SSH predefinito di OpenWrt, è un programma diverso da OpenSSH e non è il prodotto indicato nel record; un dispositivo OpenWrt è coinvolto solo se vi è stato installato il server OpenSSH.
• Sfruttamento: il codice proof-of-concept è pubblico. La società di threat intelligence Previdian riferisce che i suoi sensori hanno osservato tentativi di sfruttamento; al 6 novembre 2026 altre fonti, come Safe Security, indicavano che lo sfruttamento reale non era confermato e che la CISA non aveva aggiunto la CVE al catalogo Known Exploited Vulnerabilities. In ogni caso, consideri urgente ogni host vulnerabile che accetta password SSH da internet.

Un controllo di 10 minuti per gli amministratori

Analizzi solo reti di Sua proprietà o che è autorizzato a testare.

Passo 1: individui i servizi SSH

Da un host all'interno della rete, elenchi tutto ciò che risponde sulla porta 22, con la versione del software dichiarata. Sostituisca l'intervallo di esempio con le Sue sottoreti:

nmap -p 22 --open -sV 192.0.2.0/24

Includa gli host dei container e le reti di laboratorio. Un sshd in un container può essere pubblicato su un'altra porta: controlli anche le mappature di porte esposte dalla piattaforma di container.

Passo 2: verifichi su ogni host la versione di OpenSSH e la libreria C

ssh -V mostra la versione di OpenSSH installata. ldd --version stampa musl libc su un sistema musl e la versione di glibc su un sistema glibc. Su Alpine, apk info -v | grep openssh mostra le versioni esatte dei pacchetti.

ssh -V
ldd --version 2>&1 | head -1

Passo 3: verifichi se l'accesso con password è attivo

Da root, stampi la configurazione con cui sshd gira davvero. passwordauthentication no significa che su quell'host questa via è chiusa.

sshd -T | grep -i passwordauthentication

Passo 4: elenchi gli account con un semplice *

Sono gli account che l'aggiramento può aprire:

awk -F: '$2 == "*" { print $1 }' /etc/shadow

Un host è esposto se valgono tutte e quattro le condizioni: versione di OpenSSH vulnerabile, musl, autenticazione con password attiva e almeno uno degli account elencati a cui SSH consente l'accesso.

La correzione

1. Aggiorni OpenSSH alla 10.6p2, o al pacchetto corretto della Sua distribuzione. Su Alpine, l'istruzione pubblicata è apk upgrade -U -a.
2. Riavvii sshd. Il demone in esecuzione mantiene il vecchio codice fino al riavvio; su Alpine, rc-service sshd restart.
3. Finché non può aggiornare, imposti PasswordAuthentication no in sshd_config e ricarichi sshd. Se gli utenti accedono già con chiave, per loro non cambia nulla; è la misura provvisoria raccomandata dagli avvisi.
4. Ricostruisca le immagini dei container che eseguono sshd su base Alpine e le ridistribuisca: correggere l'host non corregge l'immagine.
5. Esamini gli accessi SSH recenti sugli host coinvolti, in particolare gli accessi con password riusciti su account che di solito usano chiavi o non accedono mai.

Che cosa vede il monitoraggio di rete, e che cosa no

SSH è cifrato: la password non attraversa mai la rete in forma leggibile. Un sensore di rete non vede la password, non ne conosce la lunghezza e non può dire che è stata sfruttata proprio questa vulnerabilità: questa prova si trova nei log dell'host.

Ciò che il monitoraggio di rete vede è il comportamento intorno a una compromissione. NetSenX valuta come si comporta ogni host in rete e segnala scansioni, movimento laterale, beaconing C2 e volumi insoliti di dati in uscita, su tutti i piani, Free compreso. Un host che all'improvviso accetta sessioni SSH da origini con cui non ha mai comunicato, o un container Alpine che dopo un accesso inizia a collegarsi ad altri host interni, è proprio il tipo di cambiamento per cui esistono queste rilevazioni. Ogni avviso spiega in un linguaggio semplice perché è scattato. Lo usi insieme ai controlli sugli host descritti sopra, non al loro posto.

Se non è sicuro che nessuno sia già dentro, Come capire se qualcuno è nella Sua rete illustra i segnali e i controlli gratuiti, Come rilevare il movimento laterale e il beaconing C2 collega a MITRE ATT&CK ciò che segue un accesso, e NDR, EDR o SIEM spiega che cosa vede ciascuno strumento. Il piano Free monitora fino a 3 dispositivi senza limiti di tempo; veda i prezzi.

Domande frequenti

Fonti

Tutte consultate il 6 novembre 2026.

• CVE-2026-123158, record CVE (cvelistV5) — descrizione, versioni interessate, punteggio CVSS 3.1 di 8,1, pubblicato il 5 novembre 2026
• Alpine Linux — OpenSSH password authentication bypass — l'avviso della distribuzione
• OpenSSH release notes, 10.6p2
• OX Security — OpenSSH password authentication bypass on Alpine Linux — meccanismo e account esposti
• Previdian — CVE-2026-123158 exploitation attempts observed
• Safe Security — SSHole: high-severity OpenSSH vulnerability — stato dello sfruttamento al 6 novembre 2026

Scritto dal team NetSenX di TriStiX S.L. Questo articolo è un'informazione generale basata sulle fonti pubbliche sopra indicate al 6 novembre 2026; verifichi nell'avviso della Sua distribuzione le versioni dei pacchetti che La riguardano. Domande: info@netsenx.com.