Falla crítica de OpenSSH en Alpine abre cuentas bloqueadas y aún no se explota

El proyecto OpenSSH publicó el 5 de noviembre la versión 10.6p2 con lo que llamó un "arreglo de seguridad crítico" para sistemas Linux que usan la biblioteca musl y no tienen activado PAM, el módulo que gestiona los inicios de sesión, según sus notas de versión. La falla deja entrar por SSHProtocolo para conectarse a otra computadora y darle órdenes a distancia por un canal cifrado. Se autentica con contraseña o con llaves, y quien agrega su llave a un equipo puede entrar sin clave. a cuentas que deberían rechazar cualquier contraseña, con solo escribir una de más de 256 caracteres. La describió el investigador Özgün Kültekin, de la firma Wakefield, y la difundió BleepingComputer a las 17:45 UTC (12:45 en Bogotá y Lima, 11:45 en Ciudad de México y 14:45 en Buenos Aires y São Paulo).

Qué es la falla

En Linux, una cuenta se bloquea para el ingreso con contraseña poniendo un asterisco en lugar del hashHuella digital de un archivo o de un dato, un código de largo fijo calculado a partir de su contenido. Si el archivo cambia, aunque sea un byte, el hash cambia, por eso sirve para identificarlo. de su clave. Como un asterisco no es un hash válido, ninguna contraseña debería coincidir. El problema es que musl, la biblioteca estándar de CConjunto de funciones básicas que usan casi todos los programas de un sistema operativo, como leer archivos o comprobar contraseñas. Las más comunes en Linux son glibc y musl. de Alpine y de muchos equipos embebidos, también devuelve un asterisco cuando no puede calcular un hash, por ejemplo con una contraseña de más de 256 bytes. OpenSSH compara un asterisco con otro y da el ingreso por bueno.

Es un salto de autenticaciónFalla que permite entrar a un sistema o usar sus funciones sin pasar por el control de usuario y contraseña, como si el atacante ya estuviera identificado. por la red que solo exige conocer el nombre de la cuenta. El error convive con OpenSSH desde 2016, cuando un arreglo para otra falla, CVE-2016-6210, empezó a calcular hashes también para cuentas sin clave usable, según el sitio del investigador. Kültekin contó que lo encontró con enjambres de agentes de IASistema de inteligencia artificial que actúa de forma autónoma para cumplir una tarea, por ejemplo usando programas o conectándose a internet, sin intervención humana en cada paso. que probaron unas 17.600 combinaciones de inicio de sesión.

A quién afecta

• Servidores OpenSSH sobre Linux con musl, como Alpine, OpenWrt, Buildroot y Yocto, y los contenedoresEntorno aislado que ejecuta programas o un sistema operativo completo compartiendo el núcleo del servidor anfitrión, con menos consumo de recursos que una máquina virtual. basados en Alpine que corren el servidor sshd.
• Solo si PAM está desactivado, como viene de fábrica en el paquete openssh-server de Alpine, y el ingreso con contraseña está habilitado, que es lo predeterminado.
• Hace falta una cuenta con asterisco como hash, como las de solo llave, las de directorio o root en Alpine, y otra cuenta con una contraseña real en el mismo equipo.
• En las imágenes oficiales de Alpine para AWS y Azure, la cuenta predeterminada alpine tiene permisos de administrador sin clave con doas, así que el atacante llega a rootUsuario con todos los permisos en sistemas Linux y Unix, también llamado superusuario. Quien obtiene acceso como root controla el equipo por completo., según el investigador.
• En OpenWrt, la variante del paquete sin PAM. El servidor Dropbear, que ese sistema trae por defecto, no está afectado.
• No están afectados Debian, Ubuntu, Fedora ni otros sistemas con glibc, los que pasan por PAM ni OpenBSD.

Estado de explotación

Sin explotación conocida. Ni OpenSSH ni BleepingComputer informaron ataques. La falla tiene el código CVE-2026-123158, publicado el 5 de noviembre a las 15:46 UTC con un puntaje CVSS de 8,1 sobre 10. El investigador admitió que alguien pudo haber entrado así por accidente en estos años, al pegar un texto largo en un pedido de contraseña, pero no hay casos documentados. Ya publicó los detalles y una demostración, lo que acorta el tiempo para parchear.

Qué hacer

• Actualizar OpenSSH a la versión 10.6p2 o al paquete corregido de la distribución. En Alpine, con apk upgrade openssh.
• Si no se puede actualizar ya, apagar el ingreso con contraseña con PasswordAuthentication no en la configuración del servidor y reiniciar el servicio.
• Revisar en los registros del servidor si hubo ingresos con contraseña en cuentas que tienen asterisco como hash. Si los hay, tratar el equipo como comprometido.
• Revisar las imágenes de contenedores y los routers con OpenWrt que tengan OpenSSH instalado, y reconstruir las imágenes con el paquete nuevo.

Ficha técnica

• Producto: OpenSSH portable sobre musl, sin PAM.
• Tipo: salto de autenticación por contraseña. Vector por red, sin interacción del usuario.
• CVE y CVSS: CVE-2026-123158, CVSS 8,1, publicado el 5 de noviembre de 2026. Origen en el arreglo de CVE-2016-6210.
• Versión corregida: OpenSSH 10.6p2, del 5 de noviembre de 2026.
• Alpine: arreglo del 5 de noviembre en 10.6_p2-r0 (edge), 10.2_p1-r1 (3.23), 10.0_p1-r11 (3.22), 9.9_p2-r1 (3.21) y 9.7_p1-r6 (3.20).
• OpenWrt: paquete actualizado a 10.6p2 el 5 de noviembre.
• Aviso del fabricante: notas de versión de OpenSSH 10.6p2.
• Alta en el catálogo KEVcatálogo de vulnerabilidades explotadas conocidas (KEV) Lista pública de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) que reúne vulnerabilidades con evidencia de explotación activa, para que se prioricen al corregir. de CISA: ninguna al 6 de noviembre de 2026.

Corrección del 7 de noviembre de 2026: una versión anterior de esta nota decía que la falla no tenía código CVE ni puntaje CVSS. Los tenía desde el 5 de noviembre.