Vulnerability
Die OpenSSH-Lücke sshole wurde Stunden nach dem Patch ausgenutzt
CVE-2026-123158 erlaubte mit einem übergroßen Passwort die Umgehung der Anmeldung auf Alpine Linux und anderen musl-Systemen ohne PAM, ausgenutzt noch in der Woche des Patches vom 5. November 2026.
Das Wichtigste
- OpenSSH 10.6p2 vom 5. November 2026 behebt eine Umgehung der Passwortanmeldung auf Linux-Systemen, die musl libc ohne PAM nutzen.
- Laut Alpine-Tracker gelingt bei bestimmten Kontokonfigurationen jedes Passwort zwischen 256 und 1.024 Zeichen.
- Betroffen sind Alpine Linux, OpenWrt, Buildroot und Yocto, womit sehr viele Container-Basisimages in den Geltungsbereich fallen.
- Ausnutzungsversuche wurden binnen Stunden nach der Offenlegung gemeldet, die erste bestätigte erfolgreiche Ausnutzung am 7. November.
Auf dieser Seite
Was ist die sshole-Lücke in OpenSSH?
Ein Passwort, das lang genug ist, um eine Bibliotheksfunktion zu überfordern, ermöglichte die Anmeldung an manchen Linux-Konten ohne gültiges Kennwort. CVE-2026-123158, vom Finder Özgün Kültekin sshole genannt, wurde am 5. November 2026 mit OpenSSH 10.6p2 behoben. Der Sicherheitstracker von Alpine formuliert es genau: sshd vor 10.6p2 auf Linux, "when musl libc is used without PAM, lacks a workaround for a password authentication bypass", und "for some configurations of accounts, any password between 256 and 1024 characters succeeds."
Ursache ist ein falsch gelesener Fehlerwert. Laut BleepingComputer gibt die Hashfunktion von musl bei einem übergroßen Passwort im Fehlerfall einen Stern zurück, und OpenSSH deutet diesen Stern als Übereinstimmung. Konten, deren gespeicherter Hash ein Stern ist, womit viele Distributionen ein Konto ohne nutzbares Passwort kennzeichnen, akzeptieren deshalb das übergroße Passwort.
Welche Systeme betrifft CVE-2026-123158?
Nur Linux-Systeme, die musl libc ohne PAM verwenden, praktisch also Alpine Linux sowie die Build-Systeme OpenWrt, Buildroot und Yocto. Die Beschreibung ist eng, die Reichweite groß, denn Alpine ist das Standard-Basisimage für einen erheblichen Teil aller Container-Arbeitslasten und für Appliance-Firmware.
Alpine veröffentlichte die Korrekturen am Tag der Offenlegung über alle Zweige: 10.6_p2-r0 auf edge, 10.3_p1-r2 auf 3.24, 10.2_p1-r1 auf 3.23, 10.0_p1-r11 auf 3.22, 9.9_p2-r1 auf 3.21, 9.7_p1-r6 auf 3.20 und 9.7_p2-r5 auf 3.19.
Wöchentlich, Donnerstagvormittag, mitteleuropäische Zeit.
Das Thinking-Briefing
Eine E-Mail pro Woche: was sich bei europäischer Unternehmenssoftware geändert hat, welche Preise sich bewegt haben und welchen Vergleich wir veröffentlicht haben. Keine Werbepost.
Wie schnell wurde die Lücke ausgenutzt?
Innerhalb von Stunden, wobei die Zeitangaben leicht auseinandergehen. Help Net Security berichtete von einem ersten Ausnutzungsversuch weniger als neun Stunden nach Veröffentlichung der CVE, die Sicherheitsfirma Previdian bestätigte Root-Zugriff auf ihrem Alpine-Honeypot und zählte acht Versuche von einer einzigen Adresse in Japan. BleepingComputer nannte einen funktionierenden Beispielangriff etwa vier Stunden nach dem Patch, Versuche ab dem 5. November und die erste erfolgreiche Ausnutzung am 7. November, dazu GreyNoise mit 16 erfolgreichen Angriffsketten von sechs Adressen rund 40 Stunden nach der Korrektur, Previdian mit 20 Versuchen von 13 Adressen aus neun Ländern und watchTower mit Aktivität im Umfeld von Botnetzen und Kryptomining. Defused sprach von einer kleinen Zahl von Akteuren.
Was das für kleine und mittlere Betriebe in Europa bedeutet
Wer irgendetwas selbst betreibt, betreibt vermutlich Alpine, ohne es zu wissen, weil es in den Containern des Lieferanten steckt. Drei Schritte. Erst aktualisieren, dann sshd neu starten, denn das laufende Programm behält den alten Code bis zum Neustart, ein Schritt, der auf Appliances gern ausgelassen wird. PasswordAuthentication auf allem, was aus dem Internet erreichbar ist, auf no setzen, das schließt diese Fehlerklasse dauerhaft und kostet nichts, wenn ohnehin Schlüssel im Einsatz sind. Anschließend die Protokolle nach erfolgreichen Passwortanmeldungen an Konten durchsuchen, die kein Passwort haben sollten, und die Dateien authorized_keys sowie neu angelegte Benutzer prüfen, bevor man von Entwarnung spricht. Für kleine Betriebe lautet die Lehre, dass auf Servern die Pflege von Schlüsseln mehr bringt als die Pflege von Passwörtern, genau die Trennlinie, die wir in /de/best/best-password-managers-2026 ziehen. Und wenn Container über eine Build-Pipeline ins Haus kommen, entscheidet die Werkzeugwahl aus /de/best/best-ai-coding-tools-2026, wie schnell ein Basisimage neu gebaut wird.
Fragen und Antworten
Bin ich mit Debian oder Ubuntu betroffen?
Reicht das Einspielen des Patches?
Quellen
- [1] Help Net Security: OpenSSH flaw exploited in the wild just hours after disclosure abgerufen 2026-11-11
- [2] BleepingComputer: Hackers exploit SSHole OpenSSH flaw to breach Linux systems abgerufen 2026-11-11
- [3] Alpine Linux security tracker: CVE-2026-123158 abgerufen 2026-11-11
