Detectan ataques a la falla de OpenSSH que abre cuentas sin contraseña en Alpine

La falla de OpenSSH que deja entrar sin contraseña a cuentas bloqueadas en Alpine Linux ya tiene ataques registrados. Previdian, una firma de inteligencia de amenazas, confirmó que un atacante logró acceso como rootUsuario con todos los permisos en sistemas Linux y Unix, también llamado superusuario. Quien obtiene acceso como root controla el equipo por completo. en uno de sus honeypotsSistema señuelo que se deja expuesto a propósito en internet para atraer ataques y registrar cómo actúan los atacantes, sin datos ni servicios reales., un servidor trampa con Alpine y OpenSSH reales, según publicó Help Net Security el 6 de noviembre a las 12:49 UTC (9:49 en Buenos Aires, Santiago y São Paulo, 7:49 en Bogotá y Lima, 6:49 en Ciudad de México).

LatamByte contó el 5 de noviembre cómo funciona la falla, cuando todavía no se conocían ataques. Desde entonces la falla recibió el código CVE-2026-123158, aparecieron los primeros ataques y Alpine publicó paquetes corregidos para todas sus versiones desde la 3.16.

Qué es la falla

Es un salto de autenticaciónFalla que permite entrar a un sistema o usar sus funciones sin pasar por el control de usuario y contraseña, como si el atacante ya estuviera identificado. en el servidor SSHProtocolo para conectarse a otra computadora y darle órdenes a distancia por un canal cifrado. Se autentica con contraseña o con llaves, y quien agrega su llave a un equipo puede entrar sin clave. de OpenSSH cuando corre sobre Linux con la biblioteca musl y sin el módulo PAM, como en el paquete predeterminado de Alpine. Las cuentas que no deberían aceptar ninguna contraseña aceptan cualquiera de más de 256 caracteres. El atacante solo necesita llegar al puerto SSH y conocer el nombre de una de esas cuentas, y el equipo tiene que tener al menos otra cuenta con contraseña real. El registro del CVE, publicado el 5 de noviembre a las 15:46 UTC, le asigna un puntaje CVSSEstándar abierto de la industria, promovido por la organización FIRST, que asigna un puntaje a cada vulnerabilidad para expresar su gravedad y ayudar a decidir con qué urgencia responder. de 8,1 sobre 10, severidad alta.

A quién afecta

• Servidores con OpenSSH anterior a la versión 10.6p2 sobre Linux con musl y sin PAM, como Alpine, y los contenedoresEntorno aislado que ejecuta programas o un sistema operativo completo compartiendo el núcleo del servidor anfitrión, con menos consumo de recursos que una máquina virtual. basados en Alpine que corren sshd.
• Según el aviso de Alpine, todas las versiones de 3.16 a 3.24 y edge, si el ingreso con contraseña está activo, que es lo predeterminado.
• Las imágenes oficiales de Alpine para la nube (tiny-cloud) de 3.18.11 a 3.24.3, cuyo usuario alpine puede volverse administrador sin clave con doas, en cuanto exista en el equipo otra cuenta con contraseña.
• No están afectados los sistemas con glibc, como Debian, Ubuntu o Fedora, los que validan con PAM ni los que tienen PasswordAuthentication no.

Estado de explotación

Explotada, según Previdian, que es por ahora la única fuente de los ataques. Su fundador, Ryan Dewhurst, dijo a Help Net Security que el primer intento llegó menos de nueve horas después de publicado el CVEIdentificador único que recibe cada vulnerabilidad conocida públicamente, con la forma CVE-año-número, para que fabricantes, investigadores y defensores hablen de la misma falla., desde una dirección de Japón que mandó contraseñas gigantes y, una vez adentro, ejecutó comandos de reconocimiento. La firma sumó la falla a su propia lista de vulnerabilidades explotadas el 6 de noviembre a las 09:53 UTC. En ese momento contaba ocho intentos desde una sola dirección. Su ficha actualizada ya registra 14 intentos desde nueve direcciones de ocho países, aunque aclara que esos intentos no prueban que el objetivo fuera vulnerable.

Ningún otro medio ni organismo confirmó ataques por su cuenta. El 5 de noviembre, Orca Security todavía decía que no había explotación conocida. La falla no figura en el catálogo KEVcatálogo de vulnerabilidades explotadas conocidas (KEV) Lista pública de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) que reúne vulnerabilidades con evidencia de explotación activa, para que se prioricen al corregir. de la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA), según la versión del catálogo actualizada el 6 de noviembre a las 19:44 UTC. Previdian advirtió además que las pruebas de conceptoCódigo o demostración que muestra que una vulnerabilidad puede aprovecharse en la práctica, sin ser necesariamente una herramienta de ataque completa. que circulan en GitHub no están verificadas y podrían traer programas maliciosos.

Qué hacer

• Actualizar OpenSSH y reiniciar sshd. En Alpine, con apk upgrade -U -a y después rc-service sshd restart. Instalar el paquete no reemplaza el servicio que ya está corriendo.
• Si no se puede actualizar, apagar el ingreso con contraseña con PasswordAuthentication no y reiniciar el servicio.
• Buscar en /var/log/messages líneas Accepted password for en cuentas que no tienen contraseña, como alpine, root o usuarios de solo llave, y revisar el uso de doas, los usuarios nuevos y los archivos authorized_keys. Si no se puede descartar un ingreso, tratar el equipo como comprometido.

Ficha técnica

• Producto: OpenSSH portable sobre Linux con musl, sin PAM.
• CVE: CVE-2026-123158, publicado el 5 de noviembre de 2026.
• CVSS: 8,1 (alta), vector CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H.
• CWE: CWE-394, valor de retorno inesperado.
• Versión corregida: OpenSSH 10.6p2, según sus notas de versión.
• Alpine: 10.6_p2-r0 (edge), 10.3_p1-r2 (3.24), 10.2_p1-r1 (3.23), 10.0_p1-r11 (3.22) y 9.9_p2-r1 (3.21), y paquetes para 3.16 a 3.20.
• Alta en el catálogo KEV de CISA: ninguna al 6 de noviembre de 2026.