Alpine LinuxがOpenSSH認証回避の脆弱性を公開

Alpine Linuxは2026年11月5日、OpenSSHに認証回避の脆弱性があるとしてセキュリティアドバイザリを公開し、セキュリティアップデートの適用を勧めた。脆弱性はCVE-2026-123158として追跡され、CVSS 3.1のスコアは8.1とされる。

影響を受けるのは、musl Cライブラリを使い、PAM認証を無効にした構成のOpenSSHサーバーで、Alpine Linuxの標準的なOpenSSHサーバー設定が該当する。SSHポートに到達できる攻撃者が、特定のアカウント条件を満たす場合に異常に長いパスワードを入力することで、認証を回避できるとされる。

対象となるAlpine Linuxのバージョンは3.16から3.24までとedge版。修正はOpenSSH 10.6p2で行われ、Alpine Linuxはバージョンごとのセキュリティパッケージを提供している。管理者は更新の適用後にSSHサービスを再起動する必要がある。

暫定回避策と注意点

暫定的な回避策として、公開鍵など代替の認証方式を設定したうえでPasswordAuthentication noを指定する方法がある。パスワードログインを無効にしているアカウントでも、サーバー上の別のアカウントが特定の形式のパスワードハッシュを保持している場合は標的になり得るとされる。

この脆弱性はdailysecu.comが報じた。