OpenSSH 曝出严重漏洞：可绕过密码认证，官方发布紧急修复

近日，开源远程连接工具 OpenSSH 被曝存在密码认证绕过漏洞（CVE-2026-123158），该漏洞被命名为 sshole。OpenSSH 官方已于 2026 年 11 月 5 日发布 10.6p2 版本进行修复。

该漏洞主要影响使用 musl libc 且未启用 PAM 认证的 Linux 系统，例如 Alpine Linux。

攻击者可能通过提交超过 256 字节的特殊密码，触发密码验证逻辑缺陷，从而绕过正常认证机制，在特定条件下甚至能够登录原本禁止密码登录的账户。

安全研究人员已观察到针对该漏洞的实际攻击活动，包括在测试环境中成功获取 root 权限的案例。

建议受影响用户尽快升级 OpenSSH 至 10.6p2 或安装发行版提供的安全修复版本。暂时无法升级的用户，可在确保密钥登录正常后关闭 SSH 密码认证，降低安全风险。

相关地址

漏洞详情：https://sshhole.com/

CVE 编号：https://www.cve.org/CVERecord?id=CVE-2026-123158