要点
- OpenSSH（サーバーに遠隔ログインする標準的な仕組み）の欠陥「SSHole」を狙う攻撃が、公表の翌日までに観測された。
- パスワードが設定されていないアカウントに、パスワードなしで入られるおそれがある。
- 当たるのは、Alpine Linux の標準構成のように、特定の条件がそろった Linux だ。修正版は OpenSSH 10.6p2 である。
何が起きたか
CVE-2026-123158 は、OpenSSH のパスワード認証を回避できる欠陥だ。Alpine Linux の advisory と OpenSSH のリリースノートによると、報告者は Özgün Kültekin 氏である。
Alpine の説明では、当たるのは次の条件がそろう環境だ。
- PAM（Linux のログイン認証の部品）を使わない OpenSSH である。
- パスワードによるログインが許可されている（初期設定のまま）。
- パスワード欄が「*」のアカウントがある。root や、鍵だけでログインする利用者が該当しうる。
- 同じ機械に、パスワードを持つアカウントも1つ以上ある。
セキュリティ企業 Previdian は、この欠陥の攻撃を観測したと公表している。同社のページでは、公表は2026年11月5日 15:46 UTC（日本時間では6日 0:46）。最初の試行は6日の 00:05 UTC 前後（日本時間 9:05）としている。同じページに別の時刻（09:53 UTC）の記載もあり、時刻は一致していない。観測は5回で、攻撃元は3つの IP アドレス（スイス・日本・シンガポール）だった。
The Hacker News は、Previdian が Alpine と OpenSSH のハニーポット（わざと狙われるよう置いた罠のサーバー）で root の権限を取られたことを確認したと報じた。この点は、Previdian のページだけでは確かめられていない。同記事は日本の IP からの8回の試行にも触れるが、Previdian のページの数字とは合わない。実害の規模は不明だ。
日本の利用者への影響
日本の組織や利用者への影響は、一次情報からは分からない。Previdian のページによると、攻撃元の1つは日本の IP だった。ただし、それが日本の被害者を狙ったものとは言えない。
今すぐやること
- 自分の Linux が Alpine かどうか、OpenSSH が PAM なしかどうかを確かめる。Docker の中で sshd を動かしていなければ、Alpine は「影響なし」としている。
- OpenSSH を 10.6p2 以降、またはお使いのディストリビューションの修正版に更新する。
- 更新のあと、sshd を再起動する。Alpine は、パッケージを替えるだけでは動いているサーバーは入れ替わらないと注意している。
- すぐ更新できないなら、Alpine はパスワードによるログインを止めることを勧めている。先に鍵でのログインを試し、接続を1本残したまま作業する。
- ログに、パスワードなしのアカウントでのログイン成功がないか調べる。Alpine は、入られていないと言い切れないなら、侵入されたものとして扱うよう勧めている。
背景
OpenSSH の10.6p2 のリリースノートは、原因が sshd の外にあると説明している。sshd 側でも避けられるようにしたとある。Hacker News の報道では、2016年のユーザー名の探られ方を防ぐ修正に由来するとされる。この点は一次情報で確かめていない。
欠陥の公表直後に攻撃が観測された例は多い。今回は PoC（実証用のコード）も公表の約2時間後に出たと Previdian は記している。ただし、そのコードは安全と確認されておらず、試さないほうがよい。
技術者向けの詳細
- CVE-2026-123158、CVSS 8.1（The Hacker News による）。
- 修正: OpenSSH 10.6p2。Alpine の修正版 openssh:
- edge 10.6_p2-r0
- 3.24 10.3_p1-r2
- 3.23 10.2_p1-r1
- 3.22 10.0_p1-r11
- 3.21 9.9_p2-r1
- 3.20 9.7_p1-r6
- 3.19 9.6_p1-r3
- 3.18 9.3_p2-r4
- 3.17 9.1_p1-r7
- 3.16 9.0_p1-r6
- 影響外（Alpine）:
PasswordAuthentication no、openssh-server-pam かつUsePAM yes、ロック済み（!）アカウントのみ、$形式のハッシュがない環境。 - 確認用:
apk info openssh
sshd -T | grep -i passwordauthentication
/etc/shadowで*のアカウントと$5$・$6$のハッシュを確認する。/var/log/messagesで「Accepted password for」を検索する。- 更新は
apk upgrade -U -aのあと sshd を再起動する。 - 侵入が疑われるなら、doas の使われ方、最近作られたユーザー、authorized_keys を調べる（Alpine の勧め）。
- tiny-cloud イメージ（3.18.11〜3.24.3）は、動いている各インスタンスで確認が必要。
