Alerta de Vulnerabilidade - OpenSSH

Vulnerabilidade de implementação incorreta do algoritmo de autenticação (CWE-303) no OpenSSH, com o identificador CVE-2026-123158/EUVD-2026-117552 e designada publicamente sshole, corrigida na versão Portable OpenSSH 10.6p2, disponibilizada a 5 de novembro de 2026 [1][2][3].

A causa reside na função crypt() do musl libc: em determinadas condições, uma operação de hashing que falha devolve o mesmo valor que o sistema usa para indicar que uma conta não tem palavra-passe válida. O sshd interpreta essa coincidência como autenticação bem-sucedida, permitindo o acesso a contas sem palavra-passe definida através do envio de uma palavra-passe com entre 256 e 1024 caracteres, sem conhecimento de quaisquer credenciais [2][3][4].

A exposição exige a verificação cumulativa das seguintes condições [4][5]:

• O sshd está ligado ao musl libc, o que sucede no Alpine Linux e noutras distribuições baseadas nesta biblioteca;
• O sshd é executado sem PAM (Pluggable Authentication Modules), a camada de autenticação do Linux à qual o sshd delega a verificação de credenciais quando está disponível. É a configuração predefinida do pacote openssh-server do Alpine;
• A autenticação por palavra-passe está ativa, o que é a predefinição;
• Existe pelo menos uma conta sem palavra-passe definida, como as contas que utilizam apenas autenticação por chave.

Não são afetados os sistemas baseados em glibc, como o Debian, Ubuntu, Red Hat Enterprise Linux e Fedora, nem as instalações em que o sshd utiliza PAM. A conta root mantém-se protegida pela configuração predefinida PermitRootLogin prohibit-password [4][6].


A exploração é remota e não requer autenticação, privilégios nem interação do utilizador. O atacante que alcance o porto SSH obtém acesso autenticado a contas sem palavra-passe definida, sem conhecer qualquer credencial [2][4].

O risco é particularmente relevante em ambientes de contentores, dada a prevalência do Alpine Linux como imagem base. Nas imagens cloud oficiais do Alpine, entre as versões 3.18.11 e 3.24.3, a conta alpine encontra-se nestas condições e dispõe de permissões para executar comandos como root através do doas [4].

O comportamento remonta a 2016. A vulnerabilidade passou a constar dos catálogos de vulnerabilidades ativamente exploradas a 9 de novembro de 2026 [2][3].

Recomenda-se a atualização para o Portable OpenSSH 10.6p2 ou posterior. O Alpine Linux disponibilizou pacotes corrigidos para todas as versões suportadas, desde a 3.16 até à edge [1][4].

Medidas adicionais recomendadas:

• Identificar os sistemas e imagens de contentor que cumprem as condições de exposição, verificando se o sshd foi compilado contra musl libc e se é executado sem PAM [4][5];
• Desativar a autenticação por palavra-passe, definindo PasswordAuthentication no no sshd_config, o que elimina a via de exploração nos sistemas que não possam ser atualizados de imediato [5][6];
• Rever as contas existentes para identificar as que não têm palavra-passe definida, em particular as que utilizam apenas autenticação por chave e as que dispõem de permissões para escalar privilégios [4];
• Reconstruir as imagens de contentor assentes em Alpine que incluam o openssh-server, de modo a incorporar os pacotes corrigidos [4];
• Analisar os logs de autenticação para identificar acessos por palavra-passe a contas que habitualmente apenas utilizam chave, bem como tentativas de autenticação com palavras-passe de dimensão invulgarmente longa [7].

[1] - https://alpinelinux.org/posts/2026-11-05-openssh-password-authentication-bypass/
[2] - https://ethiack.com/info-hub/research/sshole-cve-2026-123158
[3] - https://euvd.enisa.europa.eu/vulnerability/CVE-2026-123158
[4] - https://cycode.com/blog/sshole-cve-2026-123158-openssh-alpine-linux-vulnerability/
[5] - https://www.ionix.io/blog/sshhole-cve-2026-123158-and-how-ionix-is-helping-you-respond/
[6] - https://access.redhat.com/security/cve/cve-2026-123158
[7] - https://socprime.com/blog/cve-2026-123158-openssh-password-authentication-bypass-affects-alpine-linux/