OpenSSH : un contournement d’authentification touche certaines configurations Linux avec musl
Le 5 novembre 2026, OpenSSH a publié la version 10.6p2 pour bloquer un contournement d’authentification référencé CVE-2026-123158. Le CERT-FR a diffusé une alerte le même jour. Le registre CVE attribue à cette faille un score CVSS 3.1 de 8,1 sur 10. Le problème ne concerne pas tous les serveurs SSH : il exige Linux avec la bibliothèque musl, PAM absent ou désactivé, l’authentification par mot de passe autorisée et une combinaison particulière de comptes locaux.
Un attaquant non authentifié pouvant joindre le service peut alors accéder à certains comptes pourtant prévus pour refuser les mots de passe. Alpine Linux fournit des paquets corrigés, y compris pour des branches anciennes : par exemple 10.3_p1-r2 pour Alpine 3.24 et 10.2_p1-r1 pour Alpine 3.23. Ces rétroportages doivent être pris en compte : le numéro amont seul ne suffit pas à juger une installation vulnérable.
Alpine demande de mettre à jour puis redémarrer le service sshd ; remplacer le paquet seul ne remplace pas le processus déjà actif. À défaut, l’éditeur recommande de désactiver l’authentification par mot de passe après avoir vérifié l’accès par clé. Les journaux doivent aussi être examinés. Des démonstrations publiques existent, mais les sources consultées n’attestent pas d’une exploitation malveillante en cours.
Sources :
