OpenSSH: falla «*sshole» deja entrar con contraseña larga a cuentas sin password en Alpine

Ars Technica y The Hacker News: basta el nombre de cuenta y un password de 257 a 1,024 bytes. Fix en OpenSSH 10.6p2.

Una falla crítica entre OpenSSH y la librería musl de Alpine Linux permite entrar a cuentas sin contraseña (por ejemplo, solo con llave SSH) con un password de 257 a 1,024 bytes, reportaron Ars Technica y The Hacker News el 5 de noviembre de 2026.

OpenSSH calificó el fallo de crítico y publicó la versión 10.6p2. Alpine ya repartió paquetes corregidos. El atacante necesita acceso de red y un nombre de cuenta válido.

Cualquier host Alpine con SSH expuesto y cuentas «key-only» mal configuradas entra en la lista de revisión inmediata.

Fuente: Ars Technica: «Meet *sshole, the vulnerability that lets hackers SSH into Linux devices», 5 de noviembre de 2026.