OpenSSH: atacan la falla «sshole» horas después del aviso y logran root en Alpine

Previdian vio el primer intento menos de nueve horas después de publicado el CVE. OpenSSH 10.6p2 corrige el problema en sistemas musl sin PAM.

Atacantes ya explotan CVE-2026-123158, una falla de OpenSSH apodada «sshole» que permite entrar a cuentas sin contraseña utilizable, informó The Hacker News el 6 de noviembre de 2026. La firma Previdian confirmó acceso root en un honeypot con Alpine Linux.

El fallo afecta a sshd en Linux con la biblioteca musl y sin PAM, que es la configuración por omisión de Alpine. Con una contraseña de entre 257 y 1,024 bytes, el hash falla, devuelve un asterisco y coincide con el asterisco guardado en cuentas bloqueadas o de solo llaves. Tiene CVSS 8.1.

Previdian registró ocho intentos desde una sola IP ubicada en Japón, con comandos de reconocimiento como id, uname y hostname. La recomendación es instalar OpenSSH 10.6p2 o el paquete corregido de la distribución y reiniciar sshd. Alpine pide revisar los registros «Accepted password for» en cuentas que no deberían aceptar contraseña.

Fuente: The Hacker News: «Hackers Target OpenSSH SSHole Flaw Within Hours of Disclosure, Gain Root on Honeypot», 6 de noviembre de 2026.