发生了什么
2026 年 11 月 9 日，CISA 把 OpenSSH 密码认证绕过漏洞 CVE-2026-123158（SSHhole）列入已知被利用漏洞目录（KEV），联邦机构修复期限为 2026 年 11 月 12 日，并要求按厂商指引缓解，满足 BOD 26-04 修复优先级要求与取证分流要求。此前威胁情报厂商 Previdian 的蜜罐自 11 月 6 日起已观测到针对该漏洞的利用尝试，截至 11 月 8 日累计 20 次尝试、13 个源 IP、9 个国家；另一家传感器厂商也于 11 月 7 日记录到成功利用的证据。该漏洞 CVSS 8.1。
受影响版本
OpenSSH 10.6p2 之前的 musl 构建版本，且在不使用 PAM 的情况下以密码验证用户。受影响的主要是 Alpine Linux（3.16–3.24）、OpenWrt、Buildroot、Yocto 等 musl 发行版。glibc 发行版与启用 PAM 的系统不受影响。触发还需同时满足若干认证配置条件（密码认证开启、本地存在特定形态的账号组合），概念上属于“满足前提的 musl 系统上的 sshd 才可被绕过”，并非所有 OpenSSH 部署都受影响。
修复版本
升级到 OpenSSH 10.6p2（2026 年 11 月 5 日发布）或发行版提供的对应回补版本。Alpine 各分支已提供回补，版本号外观较旧不代表未修复，以发行版安全通告为准。
自查步骤
- 确认系统发行版与 OpenSSH 版本：musl 发行版且 OpenSSH 低于 10.6p2（或未打发行版回补）即在列。
- 确认 sshd 是否以 musl 构建且未启用 PAM；glibc 系统或已启用 PAM 的可排除。
- 检查 sshd 是否开启密码认证、是否暴露在公网；容器内运行 sshd 的 Alpine 镜像同样要查。
- 升级后核对版本与发行版通告，检查认证日志中是否有针对无密码账号的异常密码登录成功记录。
- 不能立即升级时，可临时停用密码认证或限制 sshd 的网络暴露面，并优先安排升级。
与本博客及作者运营的站点无关，普通读者无需操作；运行 Alpine 等 musl 系统的团队请按上述步骤核查，并于 11 月 12 日前完成修复。