先说清：已确认有人在野利用，范围窄但触发极易
威胁情报公司 Previdian 在 2026 年 11 月 6 日确认：针对 OpenSSH 漏洞 CVE-2026-123158（代号 SSHhole）的在野利用已经出现——CVE 公开不到 9 小时就出现首次利用尝试，且已在一台真实运行 Alpine Linux 与 OpenSSH 的蜜罐上确认获得 root 权限。截至报告时共观测到 8 次尝试，均来自同一个位于日本的地址（89.116.89.18），利用后执行了 id、uname、hostname 等侦察命令。该漏洞 CVSS 3.1 评分为 8.1，修复已于 11 月 5 日随 OpenSSH 10.6p2 发布，Alpine 同日推送了各分支的修复包。截至本轮核查，该漏洞尚未进入 CISA KEV（目录仍为 2026.11.04 版、1,768 条）。本文只讲防御：影响范围、修复版本与自查步骤，不涉及任何利用细节。
影响范围：只命中一类特定配置
受影响的须同时满足四个条件：运行 OpenSSH 10.6p2 之前的 sshd；系统使用 musl C 库（最典型的是 Alpine Linux，Alpine 默认的 openssh-server 包即属此类）；sshd 未走 PAM 校验密码；目标账号没有设置密码（密码字段为单个星号）。概念上讲，该条件下超长密码会被错误地接受，从而绕过登录校验。以下情况不受影响：Debian、Ubuntu、RHEL 等基于 glibc 的发行版；走 PAM 校验密码的 sshd；使用 Dropbear 的系统。需要说明限度：目前公开确认的利用发生在蜜罐上，尚无已确认的生产环境入侵报告；但公开复现实验已存在，窗口期应按很短来对待。
修复：升到 OpenSSH 10.6p2 或安装 Alpine 修复包
版本级修复就是 OpenSSH 10.6p2（2026 年 11 月 5 日发布）。Alpine 各分支同日已推送修复包：edge 为 openssh 10.6_p2-r0，3.24 为 10.3_p1-r2，3.23 为 10.2_p1-r1，3.22 为 10.0_p1-r11，3.21 为 9.9_p2-r1。Alpine 用户执行 apk upgrade -U -a 后重启 sshd 即可。不能立即升级的，先把 PasswordAuthentication 设为 no 并重启 sshd 作为临时缓解——这会关掉密码登录，只保留密钥登录，操作前须确认自己能用密钥登录，否则会把自己锁在门外。
自查清单
- 先确认自己在不在影响范围：系统是不是 Alpine 或其他 musl 发行版；sshd 版本是否低于 10.6p2；sshd 是否未启用 PAM。三个条件有一个不满足，即不在影响范围，不用处理。
- 在范围内的，检查有无未设密码的账号：查看 /etc/shadow，密码字段为单个星号（*）的账号即属此类；重点看这类账号是否允许 SSH 登录。
- 升级到 OpenSSH 10.6p2 或安装对应分支的 Alpine 修复包，升级后重启 sshd，并确认 sshd 版本确实已变，不要只看升级命令的成功提示。
- 不能立即升级的：先设 PasswordAuthentication no 并重启 sshd，同时确认密钥登录可用；有条件时尽快完成版本升级，临时缓解不是长期修复。
- 如果服务器在 11 月 5 日之后暴露在公网且满足上述影响条件：复核 auth 日志中有无异常登录成功的记录，发现异常按入侵处置流程处理，并更换该服务器上用过的重要密码。
- 普通用户注意：这不是要求所有 Linux 用户恐慌——只有 Alpine 等 musl 系统且未走 PAM 的 sshd 才受影响；不在范围内的不用操作。
一句话总结：Alpine 或其他 musl 系统上、未走 PAM 的 OpenSSH 低于 10.6p2 的，立即升级到 10.6p2 或安装 Alpine 修复包并重启 sshd；升级前先关掉密码登录作临时缓解。