sshole (CVE-2026-123158): controleer uw netwerk

CVE-2026-123158, bijgenaamd 'sshole' (ook geschreven als sshhole), laat een aanvaller via SSH inloggen met een heel lang wachtwoord op Linux-systemen waarop sshd van OpenSSH is gebouwd tegen musl libc zonder PAM; Alpine Linux is het bekendste voorbeeld. De fout is verholpen in OpenSSH 10.6p2, uitgebracht op 5 november 2026, en het uitschakelen van wachtwoordauthenticatie dicht hem tot u kunt bijwerken. De meeste gangbare serverdistributies gebruiken glibc en PAM en vallen buiten de kwetsbare configuratie; het risico zit vooral bij Alpine-hosts, op Alpine gebaseerde containers die sshd draaien en embedded Linux-images.

Wie geraakt wordt en wie niet

Het CVE-record beschrijft het zo: sshd in OpenSSH vóór 10.6p2 mist op Linux, wanneer musl libc zonder PAM wordt gebruikt, een workaround voor een omzeiling van wachtwoordauthenticatie; bij sommige accountconfiguraties werkt elk wachtwoord van 256 tot 1.024 tekens. Het record geeft een score van 8,1 (hoog) in CVSS 3.1.

Het mechanisme, zoals Alpine en meerdere beveiligingsonderzoekers het beschrijven: zonder PAM controleert sshd een wachtwoord door de functie crypt() van de C-bibliotheek aan te roepen en het resultaat te vergelijken met de regel van het account in /etc/shadow. Bij een te lange invoer faalt crypt() van musl en geeft de tekenreeks * terug. Accounts die niet met een wachtwoord horen in te loggen, hebben vaak precies * als shadow-regel. De foutwaarde komt dus overeen en sshd accepteert de login. Een account met een echte wachtwoordhash gaat zo niet open: de foutwaarde komt niet overeen met de hash.

• Kwetsbare configuratie: OpenSSH ouder dan 10.6p2, musl libc, geen PAM, wachtwoordauthenticatie aan en minstens één account waarvan de shadow-regel alleen * is. De standaardbuild van OpenSSH in Alpine heeft geen PAM. Onderzoekers noemen onder de blootgestelde accounts gebruikers die alleen met een sleutel inloggen en de standaardgebruiker van Alpine-cloudimages; root heeft op Alpine standaard ook *, maar de standaardinstelling PermitRootLogin prohibit-password weigert een wachtwoordlogin voor root.
• Daarbuiten, volgens het CVE-record: distributies op basis van glibc en sshd-builds die PAM gebruiken. Dropbear, de SSH-server die OpenWrt standaard meelevert, is een ander programma dan OpenSSH en niet het product dat het record noemt; een OpenWrt-apparaat valt er alleen onder als er de OpenSSH-server op is geïnstalleerd.
• Misbruik: er is openbare proof-of-concept-code. Het threat-intelligencebedrijf Previdian meldt dat zijn sensoren misbruikpogingen hebben waargenomen; op 6 november 2026 meldden andere bronnen, zoals Safe Security, dat misbruik in het wild niet was bevestigd en dat CISA de CVE niet aan zijn catalogus Known Exploited Vulnerabilities had toegevoegd. Behandel elke kwetsbare host die SSH-wachtwoorden vanaf internet accepteert hoe dan ook als urgent.

Een check van 10 minuten voor beheerders

Scan alleen netwerken die van u zijn of waarvoor u toestemming hebt om te testen.

Stap 1: vind de SSH-diensten

Maak vanaf een host binnen het netwerk een lijst van alles wat op poort 22 antwoordt, met de softwareversie die het meldt. Vervang het voorbeeldbereik door uw eigen subnetten:

nmap -p 22 --open -sV 192.0.2.0/24

Neem containerhosts en labnetwerken mee. Een sshd in een container kan op een andere poort zijn gepubliceerd; controleer daarom ook de poorttoewijzingen van uw containerplatform.

Stap 2: controleer per host de OpenSSH-versie en de C-bibliotheek

ssh -V toont de geïnstalleerde OpenSSH-versie. ldd --version geeft musl libc op een musl-systeem en de glibc-versie op een glibc-systeem. Op Alpine toont apk info -v | grep openssh de exacte pakketversies.

ssh -V
ldd --version 2>&1 | head -1

Stap 3: controleer of inloggen met een wachtwoord aanstaat

Toon als root de configuratie waarmee sshd werkelijk draait. passwordauthentication no betekent dat deze weg op die host dicht is.

sshd -T | grep -i passwordauthentication

Stap 4: maak een lijst van accounts met alleen *

Dit zijn de accounts die de omzeiling kan openen:

awk -F: '$2 == "*" { print $1 }' /etc/shadow

Een host is blootgesteld als alle vier punten kloppen: een kwetsbare OpenSSH-versie, musl, wachtwoordauthenticatie aan en minstens één account uit de lijst dat via SSH mag inloggen.

De oplossing

1. Werk OpenSSH bij naar 10.6p2, of naar het gecorrigeerde pakket van uw distributie. Op Alpine is de gepubliceerde instructie apk upgrade -U -a.
2. Herstart sshd. De draaiende daemon houdt de oude code tot hij herstart; op Alpine rc-service sshd restart.
3. Zet tot de update PasswordAuthentication no in sshd_config en laad sshd opnieuw. Wie al met sleutels inlogt, merkt er niets van; het is de tijdelijke maatregel die de advisories aanraden.
4. Bouw container-images opnieuw die sshd op een Alpine-basis draaien, en rol ze opnieuw uit: de host patchen patcht het image niet.
5. Bekijk recente SSH-logins op de getroffen hosts, vooral geslaagde wachtwoordlogins op accounts die normaal sleutels gebruiken of nooit inloggen.

Wat netwerkmonitoring wel en niet ziet

SSH is versleuteld; het wachtwoord gaat nooit leesbaar over het netwerk. Een netwerksensor ziet het wachtwoord en de lengte ervan niet en kan niet zeggen dat juist deze fout is gebruikt: dat bewijs staat in de logs van de host zelf.

Wat netwerkmonitoring wel ziet, is het gedrag rond een inbraak. NetSenX beoordeelt hoe elke host zich op het netwerk gedraagt en markeert scans, laterale beweging, C2-beaconing en ongebruikelijk uitgaand datavolume, op elk abonnement, ook Free. Een host die plotseling SSH-sessies accepteert van bronnen waarmee hij nooit contact had, of een Alpine-container die na een login andere interne hosts gaat benaderen, is precies het soort verandering waarvoor die detecties bestaan. Elke melding legt in begrijpelijke taal uit waarom ze afging. Gebruik dit naast de controles op de hosts hierboven, niet in plaats daarvan.

Weet u niet zeker of er al iemand binnen is, dan noemt Hoe u ziet of er iemand in uw netwerk zit de signalen en gratis controles, koppelt Laterale beweging en C2-beaconing detecteren wat na een login volgt aan MITRE ATT&CK, en legt NDR, EDR of SIEM uit welk hulpmiddel wat ziet. Het Free-abonnement bewaakt tot 3 apparaten zonder tijdslimiet; zie de prijzen.

Veelgestelde vragen

Bronnen

Allemaal geraadpleegd op 6 november 2026.

• CVE-2026-123158, CVE-record (cvelistV5) — beschrijving, getroffen versies, CVSS 3.1-score 8,1, gepubliceerd op 5 november 2026
• Alpine Linux — OpenSSH password authentication bypass — de advisory van de distributie
• OpenSSH release notes, 10.6p2
• OX Security — OpenSSH password authentication bypass on Alpine Linux — mechanisme en blootgestelde accounts
• Previdian — CVE-2026-123158 exploitation attempts observed
• Safe Security — SSHole: high-severity OpenSSH vulnerability — stand van misbruik op 6 november 2026

Geschreven door het NetSenX Team bij TriStiX S.L. Dit artikel is algemene informatie op basis van de openbare bronnen hierboven, stand 6 november 2026; controleer in de advisory van uw distributie welke pakketversies voor u gelden. Vragen: info@netsenx.com.