OpenSSH CVE-2026-123158 „SSHole“: ohrozený je Alpine a musl bez PAM, nie každý Linux

Kritická chyba v OpenSSH (CVE-2026-123158, prezývaná „SSHole“) je skutočná a verejne je dostupný ukážkový exploit. Netýka sa však všetkých linuxových serverov. Ohrozené sú servery OpenSSH staršie než 10.6p2 na knižnici musl libc bez PAM, typicky Alpine Linux. Distribúcie na glibc (Debian, Ubuntu, Red Hat, SUSE) nie sú podľa dostupných správ dotknuté. Tento návod ukazuje, ako zistiť, či si ohrozený, a ako chybu opraviť.

Čo je overené

• Oprava: OpenSSH 10.6p2 vyšlo 5. novembra 2026. Alpine podľa správ vydal opravené balíky pre podporované vetvy.
• Čo chyba robí: na sshd s knižnicou musl bez PAM sa môže útočník, ktorý sa dostane na port SSH, prihlásiť na účty bez použiteľného hesla. Podľa záznamu CVE pre niektoré konfigurácie účtov uspeje akékoľvek heslo s dĺžkou 256 až 1024 znakov. Príčinou je nesprávne vyhodnotenie toho, či reťazec patrí k hashu hesla.
• Závažnosť: CVSS 3.1 hodnota 8,1 (vysoká). Hongkonský CERT ju hodnotí ako strednú, vládny CERT Hongkongu vydal vysoké varovanie, lebo existuje ukážkový exploit (PoC).
• Zneužívanie: aktívne zneužívanie nie je podľa dostupných správ potvrdené. PoC však existuje, takže treba počítať s tým, že sa objaví.
• Objaviteľ: chybu nahlásil Özgün Kültekin z firmy Wakefield. Oprava prišla v priebehu dňa po nahlásení.

Čo nie je pravda

• „Všetky linuxové servery“: podmienkou je musl libc bez PAM. Debian, Ubuntu, Red Hat a SUSE používajú glibc a nie sú podľa HKCERT dotknuté.
• „Obídenie obmedzení servera“: ide konkrétne o obídenie overenia heslom pri účtoch bez použiteľného hesla, nie o všeobecné obchádzanie obmedzení.
• Ak sa prihlasuješ iba kľúčmi a heslá máš vypnuté, útok sa na tvoj server nevzťahuje.

Si ohrozený? Skontroluj

Musia platiť všetky tri podmienky naraz: OpenSSH pred 10.6p2, systém používa musl libc a sshd beží bez PAM so zapnutým prihlásením heslom (predvolené nastavenie).

# Je to musl alebo glibc?
ldd --version 2>&1 | head -1

# Verzia OpenSSH
ssh -V

# Účinná konfigurácia sshd
sudo sshd -T | grep -Ei 'passwordauthentication|usepam'

# Alpine: nainštalovaná verzia balíka
apk info -v openssh openssh-server 2>/dev/null

Ak výstup ldd spomína musl, usepam je no a passwordauthentication je yes, s verziou pred 10.6p2 si ohrozený. Nezabudni na kontajnery: obraz môže obsahovať starý balík, aj keď je hostiteľ aktualizovaný.

Oprava

1. Aktualizuj balík. Na Alpine: sudo apk update && sudo apk upgrade openssh openssh-server a sudo rc-service sshd restart. Skontroluj verziu podľa bezpečnostných oznámení Alpine pre tvoju vetvu.
2. Kontajnery. Prebuduj a znovu nasaď obrazy, ktoré obsahujú starší balík openssh. Obrazy bez spusteného servera OpenSSH nie sú ohrozené.
3. Dočasné zmiernenie, ak aktualizovať nemôžeš hneď. Pridaj do konfigurácie sshd PasswordAuthentication no, over ju príkazom sudo sshd -t a reštartuj službu. Najprv otvor druhé spojenie a vyskúšaj prihlásenie kľúčom, aby si sa nezamkol.
4. Obmedz prístup. Ak sa dá, obmedz SSH na vybrané adresy cez firewall alebo VPN.

Ako zistiť, či ťa niekto už zneužil

• V logoch hľadaj úspešné prihlásenia heslom (Accepted password for …), najmä na účty, ktoré nemajú mať heslo alebo sa nepoužívajú. Samotné heslá sa nelogujú, takže pokus ako taký v logoch neuvidíš.
• Skontroluj históriu prihlásení (last), neznáme zdrojové adresy a nové súbory či kľúče v authorized_keys.
• Ak nájdeš podozrivé prihlásenie, ber systém ako kompromitovaný: izoluj ho, zmeň prístupové údaje a skontroluj, čo mohlo byť dosiahnuté.

Poučenie

Správy uvádzajú, že správcovia OpenSSH vydali opravu hneď, bez dlhého oneskorenia zverejnenia, lebo nástroje umelej inteligencie podľa nich dokážu nahlásené chyby znovu objaviť v priebehu hodín. Toto tvrdenie je z druhej ruky a v poznámkach k vydaniu som ho neoveril. Záver je však jasný: kritické záplaty treba plánovať v rádoch hodín, nie týždňov.

Čo si z toho odniesť

Skontroluj, či máš musl a OpenSSH bez PAM, najmä v kontajneroch. Ak áno, aktualizuj na 10.6p2 alebo vypni heslá. Ak používaš distribúcie na glibc, tento konkrétny problém sa ťa podľa dostupných správ netýka, no vypnutie prihlásenia heslom zostáva dobrou praxou.