Alpine Linux 披露 OpenSSH 认证绕过漏洞，已发布修复更新

Alpine Linux 于 2026 年 11 月 5 日发布安全公告，披露 OpenSSH 中存在一个可绕过身份认证的漏洞，并同步推出安全更新。据 dailysecu.com 报道，该漏洞编号为 CVE-2026-123158，CVSS 3.1 评分为 8.1。

公告称，受影响的系统为使用 musl C 库、且未启用 PAM 认证的 OpenSSH 服务器，Alpine Linux 默认的 OpenSSH 服务器配置即属于此类。在特定账户条件满足时，能够访问 SSH 端口的攻击者可通过输入异常长的密码绕过认证，无需有效密码。

受影响版本为 Alpine Linux 3.16 至 3.24 以及 edge 版本。漏洞已在 OpenSSH 10.6p2 中修复，Alpine Linux 按各版本分别提供安全软件包。

管理员在安装更新后需要重启 SSH 服务，修复才会生效。临时缓解措施是设置 PasswordAuthentication no，前提是已配置公钥等替代认证方式。公告还提示，即使某个账户已关闭密码登录，只要服务器上另有账户持有特定格式的密码哈希，该账户仍可能成为攻击目标。