I. 概要
OpenSSHは2026年11月5日、OpenSSHにおける認証回避の脆弱性（CVE-2026-123158）に関する修正バージョン[1]を公開しました。同日、Alpine Linuxは、同ディストリビューションのopenssh-serverパッケージに関するアドバイザリ[2]を公表しました。
本脆弱性は標準Cライブラリとしてmusl libcを使用し、LinuxなどのUnix系OSでユーザー認証を管理する仕組みであるPAMを使用しない構成で動作するOpenSSHにおいて、特定の条件下で認証処理に誤りが生じる問題です。悪用された場合、認証されていないリモートの攻撃者が、パスワードによるログインを無効にするための特殊な値（「*」）が設定されたアカウントに、正規のパスワードを用いずに不正にログインできる可能性があります。
JPCERT/CCでは、国内においてAlpine Linuxをベースとした商用製品が利用されていることを確認しています。また、本脆弱性に関しては、すでに概念実証コードが公開されています。海外セキュリティ企業のGreyNoise[3]は、2026年11月5日以降、本脆弱性の悪用を試みる攻撃を観測したと報告しています。加えて、2026年11月7日には、本脆弱性の悪用の成功を観測しており、同社の観測用環境において、認証回避による侵入の成功や、侵入後のコマンド実行、C2エージェントの設置などを確認したと報告しています。なお、現時点で組織における侵害事例は確認できていません。本脆弱性の悪用試行が確認されていることから、影響を受ける製品を利用している場合は、開発元が提供する情報などを参考に、速やかに対策の適用および侵害有無の調査を実施してください。
II. 対象
本脆弱性は、OpenSSH 10.6p2より前のバージョンを使用する環境のうち、次の条件を満たす場合に影響を受ける可能性があります。
- musl libcを使用するLinux環境であること
- PAMによる認証が無効化されていること
- OpenSSHのパスワード認証が有効であること
- パスワードハッシュ欄が*となっているアカウントなどが存在すること
- 別のローカルアカウントに特定形式（$5$または$6$）のパスワードハッシュが設定されていること
詳細については、各Linuxディストリビューションの開発元が提供する情報を確認してください。
III. 対策
OpenSSHは、本脆弱性を修正したバージョン10.6p2を公開しています。また、Alpine Linuxは、各リリース向けに修正済みパッケージを提供しています。
なお、Linuxディストリビューションによっては、OpenSSHの旧バージョンに修正をバックポートしているため、各製品における対策情報の詳細は各開発者が提供する情報を確認してください。
IV. 侵害有無の調査方法
Alpine Linuxは、SSH認証ログにおいて、本来パスワードによるログインが禁止されているアカウントへのログイン成功記録がないか確認することを推奨しています[2]。
- /var/log/messagesなどに記録されたSSH認証ログに、本来パスワードログインできないアカウントに対するAccepted password forの記録がないか
- doasの使用履歴、不審なユーザーアカウントの追加やSSH公開鍵の変更がないか
- 不審なファイルやプロセスの作成、外部サーバーへの通信がないか
詳細は、開発者が提供する最新の情報を確認してください。
V. 関連情報
[1] OpenSSH
OpenSSH 10.6p2 (2026-11-05)
https://www.openssh.org/releasenotes.html#10.6p2
[2] Alpine Linux Development Team
Security advisory: openssh-server password authentication bypass
https://alpinelinux.org/posts/2026-11-05-openssh-password-authentication-bypass/
[3] GreyNoise
SSHole (CVE-2026-123158) Activity 2026
https://sshole.events.greynoise.io/
CyberNewsFlashは、注意喚起とは異なり、発行時点では注意喚起の基準に満たない脆弱性の情報やセキュリティアップデート予告なども含まれます。今回の件を含め、提供いただける情報がありましたら、JPCERT/CCまでご連絡ください。
一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）
サイバーセキュリティコーディネーショングループ
Email：ew-info@jpcert.or.jp
