Faille OpenSSH *sshole CVE-2026-123158 : quand * égale * sur musl sans PAM
Le 5 novembre 2026, OpenSSH publie la version 10.6p2 avec un correctif critique. Sur certains Linux musl sans PAM, des comptes dont le champ mot de passe est * (censés refuser tout mot de passe) peuvent accepter une saisie trop longue. Le chercheur Özgün Kültekin (Wakefield) documente le scénario sous le nom *sshole (CVE-2026-123158 / GHSA-4fcc-vm97-gx3x).
Voici qui est touché, un schéma éducatif (pas une procédure d’attaque), la checklist et les questions fréquentes.
Faille OpenSSH : touché ou en sécurité?
| Environnement | Statut | Action |
|---|---|---|
| Alpine Linux (sshd sans PAM, défaut) | Touché si PasswordAuthentication oui + compte avec * | apk upgrade openssh → 10.6p2+ |
| Images Alpine AWS / Azure (compte alpine + doas) | Risque élevé si sshd joignable | Mettre à jour; désactiver auth mot de passe |
| OpenWrt / Buildroot / Yocto (musl) | Touché dans les mêmes conditions | OpenSSH 10.6p2 / correctif du fournisseur |
| Debian / Ubuntu / Fedora (glibc + PAM) | Non touchés selon les avis publics | Rien d’urgent pour cette faille |
| sshd avec UsePAM yes | Hors du scénario décrit | Toujours patcher selon votre distro |
| PasswordAuthentication no | Mitigation immédiate | Redémarrer sshd après le changement |
En clair : la faille OpenSSH décrite ici ne frappe pas Debian, Ubuntu ou Fedora typiques (glibc + PAM). Elle concerne surtout Alpine, OpenWrt, Buildroot, Yocto — et les images cloud Alpine où le compte alpine a un * et un doas sans mot de passe.
Schéma éducatif : pourquoi * peut égaler *
Noms fictifs uniquement. Aucun script d’attaque, aucune commande à lancer contre un système réel.
Comparaison mot de passe (schéma simplifié — comptes fictifs alice / deploy)
OKcompte « alice » hash stocké = $6$sel$… (vrai hash)
mot de passe saisi → crypt() → $6$sel$… → égalité? selon le bon mot de passe
WARNcompte « deploy » champ = * (désactivé pour les mots de passe)
mot de passe normal → crypt() → autre chose que * → refus
BADmême compte « deploy », mot de passe TRÈS long (schéma 257–1024 car.)
sur musl, crypt() échoue et renvoie * → * comparé à * → accepté (bug)
Comment lire cette maquette
- 1Un vrai hash ($6$…) ne matche que le bon mot de passe.
- 2Un champ * devrait refuser tout mot de passe : ce n’est pas un hash utilisable.
- 3Sur musl, un mot de passe trop long fait échouer crypt(), qui renvoie alors *.
- 4OpenSSH (sans PAM) comparait ce * au * stocké → égalité à tort. 10.6p2 corrige ce chemin.
OpenSSH considère que la cause racine est hors de sshd, mais le contournement était exploitable via sshd; le correctif évite la comparaison dangereuse. Conditions typiques citées publiquement : musl, PAM désactivé, auth mot de passe SSH activée, au moins un compte avec *, et un autre compte avec un vrai hash (pour le « sel » de timing historique).
Checklist d’action aujourd’hui
Faites ceci dans l’ordre
- ☐ Inventaire : avez-vous des hôtes Alpine / OpenWrt / images cloud Alpine / appliances Buildroot-Yocto avec sshd joignable?
- ☐ Correctif : OpenSSH 10.6p2 ou plus récent (
apk upgrade opensshsur Alpine). - ☐ Mitigation : si vous ne pouvez pas patcher tout de suite →
PasswordAuthentication nopuis redémarrage de sshd (clés SSH seulement). - ☐ Comptes * : repérez root / deploy / alpine avec un champ
*ou!dans shadow; confirmez que l’auth mot de passe n’est pas requise. - ☐ Journaux : cherchez des « Accepted password » pour des comptes qui ne devraient pas accepter de mot de passe (selon les conseils publics du chercheur).
- ☐ Exposition : sshd ne devrait pas être ouvert à tout Internet sans contrôle (pare-feu, allowlist, bastion).
- ☐ Suivi : une surveillance automatisée 24/7 avec intervention du technicien de garde aide à repérer les connexions SSH anormales après coup.
Questions fréquentes
Q1. Mon VPS Ubuntu est-il touché?
Les avis publics indiquent que glibc + PAM (Debian/Ubuntu/Fedora typiques) ne sont pas dans le scénario. Patchez quand même selon les mises à jour de votre fournisseur, mais la priorité urgente est musl sans PAM.
Q2. Docker Alpine sur mon laptop?
Le risque pratique dépend surtout d’un sshd exposé. Une image Alpine sans sshd joignable n’ouvre pas cette porte. Vérifiez les conteneurs / VMs qui écoutent vraiment sur 22.
Q3. PasswordAuthentication no suffit-il?
Comme mitigation temporaire, oui selon OpenSSH / le chercheur. Le correctif 10.6p2 reste la vraie réparation.
Q4. Y a-t-il un score CVSS officiel unique?
Suivez GHSA-4fcc-vm97-gx3x et les avis OpenSSH / Alpine. Ne vous fiez pas à un chiffre inventé.
Les failles d’auth SSH rappellent que la surface « petit serveur » compte autant que le poste de travail — comme on l’a vu avec d’autres expositions dans nos articles sur les services de cybersécurité et la gestion des serveurs.
Comment NeoTech peut vous aider
Nous inventairons vos hôtes musl / Alpine, appliquons OpenSSH 10.6p2, désactivons l’auth mot de passe si besoin, et vérifions les journaux de connexion. Notre surveillance automatisée 24/7 avec intervention du technicien de garde signale les authentifications SSH inhabituelles. Pour un portrait global, voyez nos services de cybersécurité.
Réservez votre Bilan cyber gratuit
En 30 minutes, nous regardons ensemble si vous avez des hôtes Alpine/musl avec sshd, quelle version d’OpenSSH tourne, et si l’auth mot de passe est encore ouverte.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Nos bureaux : 2572, boul. Daniel-Johnson, bureau 237, Laval.
Sources
- oss-security — « sshole » : contournement d’auth mot de passe OpenSSH + musl, 5 nov. 2026 (en anglais)
- OpenSSH — notes de version 10.6p2 (en anglais)
- BleepingComputer — faille OpenSSH / comptes désactivés, 5 nov. 2026 (en anglais)
- GitHub Advisory GHSA-4fcc-vm97-gx3x (en anglais)
- sshhole.com — page du chercheur Özgün Kültekin / Wakefield (en anglais)
Photo : Manuel Geissinger, Pexels (licence Pexels).