OpenSSH、認証バイパスの脆弱性「SSHole」に対する修正パッチを緊急公開

OpenSSHは、非常に長いパスワードを使ってログインできてしまう重大度の高い認証バイパスの脆弱性に対し、緊急パッチを公開しました。

この脆弱性はSSHoleと名付けられ、CVE-2026-123158（CVSSスコア8.1）として追跡されています。影響を受けるのは、Pluggable Authentication Module（PAM）を無効にしたmusl libc実装のLinuxディストリビューション上で動作するOpenSSHサーバー（sshd）です。

「文字列がパスワードハッシュを意図したものかどうかの誤判定」により、攻撃者は257～1,024文字のパスワードであれば何でも使って、特定のアカウントにアクセスできます。

rootなど一部のアカウントはパスワードを一切受け付けるべきではありませんが、Alpine、OpenWrt、Buildroot、Yoctoなどの各Linuxディストリビューションでは受け付けてしまうと、Wakefieldのセキュリティ研究者Özgün Kültekin氏は説明しています。

OpenSSH開発者のDamien Miller氏によると、問題はsshd自体にあるわけではなく、sshdを経由して悪用される可能性があるといいます。修正はOpenSSH 10.6p2に含まれています。

「今回のリリースは可能な限り急いで行いました（問題を知ったのは昨日です）。最近、AIエージェントによるバグの再発見が、ときには数時間以内という速さで複数回確認されているためです。長い非公開期間（エンバーゴ）は、主に攻撃者を利する危険な慣行だと考えています」と、Miller氏は述べています。

木曜日、Alpine Linuxはユーザーに対し、OpenSSHのパッチをただちに適用してsshdを再起動し、稼働中のデーモンを置き換えるよう呼びかけました。パッチを適用できない場合は、パスワードログインを無効にしたうえでsshdを再起動するよう求めています。

「攻撃者に必要なのは、パスワードフィールドが*のアカウント名（パスワード未設定のアカウントで、鍵認証専用アカウントでは通常の状態）と、$5$または$6$のパスワードハッシュを持つアカウントがマシン上に少なくとも1つ存在することです」と、Alpine Linuxは警告しています。

Alpine Linuxはバージョン3.16以降、rootアカウントの保護に「*」を使用しています。また、パスワードハッシュ中の$5$または$6$は、SHA-256とSHA-512のどちらのcryptが使われたかを示します。

「SSHポートに到達できる攻撃者は、パスワードを知らなくてもログインできます。必要な接続は1回だけで、毎回成功し、再試行も不要です」と、Alpine Linuxは指摘しています。

影響を受けるAlpine Linuxの環境は、次の条件をすべて満たすものです。PAMなしでOpenSSHを実行している。パスワード認証が有効になっている。パスワードフィールドが「*」のアカウントがある（root、パスワードなしでadduserにより作成した鍵認証専用ユーザー、公式tiny-cloudイメージのalphaユーザー、musl-nscd経由でディレクトリサービスから取得したユーザーなど）。$5$または$6$のパスワードハッシュを持つローカルアカウントが少なくとも1つある。

「影響を受けるリリースは、確認したAlpineのすべてのリリースです。3.21から3.24とedge、さらに定期更新が終了した旧リリース（3.16～3.20）も含まれます」と、Alpine Linuxは述べています。

「悪用の報告はまだ確認していませんが、詳細は公開されており、攻撃も単純です。数時間以内にスキャンが始まると予想しています。標的の発見は非常に簡単です。Shodanには、22番ポートでSSHを公開しているシステムが約2,200万件登録されています。Shodanはすべてを把握しているわけではないため、実数はこれより多いはずです。そのうちAlpineを使っているのは一部ですが、1回の試行は接続1回で済むので、攻撃者は全件を試す余裕があります」と、Detectifyの共同創業者で主席セキュリティ研究者のFredrik Almroth氏は語りました。

「週末までに、SSHのブルートフォース攻撃者がこの手口を試す動きが出てくるのは、ほぼ間違いありません。試すコストはほぼゼロで、成功すれば簡単に侵入できるからです。影響を受ける組織は、可能であれば最新バージョンに更新してください。更新できない場合は、暫定的な緩和策としてパスワード認証を無効にしてください」と、WatchTowrの脅威インテリジェンス責任者Jake Knott氏は述べています。