Vulnerability
La faille OpenSSH sshole exploitée quelques heures après son correctif
CVE-2026-123158 permettait de contourner l'authentification avec un mot de passe surdimensionné sur Alpine Linux et d'autres systèmes musl sans PAM, et des attaques ont suivi le correctif du 5 novembre 2026.
L'essentiel
- OpenSSH 10.6p2, publié le 5 novembre 2026, corrige un contournement de l'authentification par mot de passe sur les systèmes Linux utilisant musl libc sans PAM.
- Selon le traqueur d'Alpine, pour certaines configurations de comptes, tout mot de passe de 256 à 1 024 caractères est accepté.
- Alpine Linux, OpenWrt, Buildroot et Yocto sont les familles concernées, ce qui place un très grand nombre d'images de conteneurs dans le périmètre.
- Des tentatives d'exploitation ont été signalées dans les heures suivant la divulgation, la première réussie confirmée le 7 novembre.
Sur cette page
Qu'est-ce que la faille sshole d'OpenSSH ?
Un mot de passe assez long pour faire échouer une fonction de bibliothèque permettait de se connecter à certains comptes Linux sans mot de passe valide. CVE-2026-123158, surnommée sshole par son découvreur Özgün Kültekin, a été corrigée le 5 novembre 2026 dans OpenSSH 10.6p2. Le traqueur de sécurité d'Alpine la décrit précisément : sshd antérieur à 10.6p2 sous Linux, "when musl libc is used without PAM, lacks a workaround for a password authentication bypass", et "for some configurations of accounts, any password between 256 and 1024 characters succeeds."
Le mécanisme tient à une valeur d'erreur mal interprétée. Comme l'explique BleepingComputer, un mot de passe surdimensionné amène la fonction de hachage de musl à renvoyer un astérisque en cas d'erreur, et OpenSSH prend cet astérisque pour une correspondance. Les comptes dont le hachage stocké est un astérisque, marquage courant d'un compte sans mot de passe utilisable, acceptent donc le mot de passe surdimensionné.
Quels systèmes sont concernés par CVE-2026-123158 ?
Uniquement les systèmes Linux utilisant musl libc sans PAM, c'est-à-dire en pratique Alpine Linux et les chaînes de construction embarquées OpenWrt, Buildroot et Yocto. La description est étroite, la portée large : Alpine est l'image de base par défaut d'une part considérable des conteneurs en production et des micrologiciels d'appliances.
Alpine a publié ses correctifs le jour de la divulgation, sur toutes ses branches : 10.6_p2-r0 sur edge, 10.3_p1-r2 sur 3.24, 10.2_p1-r1 sur 3.23, 10.0_p1-r11 sur 3.22, 9.9_p2-r1 sur 3.21, 9.7_p1-r6 sur 3.20 et 9.7_p2-r5 sur 3.19.
Chaque jeudi matin, heure d'Europe centrale.
Le briefing Thinking
Un courriel par semaine : ce qui a changé dans le logiciel professionnel européen, quels prix ont bougé et quel comparatif nous avons publié. Aucun courrier commercial.
À quelle vitesse la faille a-t-elle été exploitée ?
En quelques heures, avec des chronologies qui diffèrent légèrement. Help Net Security rapporte une première tentative détectée moins de neuf heures après la publication de la CVE, la société de renseignement Previdian confirmant un accès root sur son pot de miel Alpine et comptant huit tentatives depuis une seule adresse située au Japon. BleepingComputer évoque une démonstration d'exploitation environ quatre heures après le correctif, des tentatives dès le 5 novembre et la première exploitation réussie le 7 novembre, en citant GreyNoise pour 16 chaînes réussies depuis six adresses environ 40 heures après le correctif, Previdian pour 20 tentatives depuis 13 adresses dans neuf pays, et watchTower pour une activité liée à des réseaux de machines zombies et au minage de cryptomonnaies. Defused parle d'un petit nombre d'acteurs.
Ce que cela change pour une PME européenne
Si vous hébergez quoi que ce soit vous-même, vous faites probablement tourner Alpine sans le savoir, car il se cache dans les conteneurs construits par votre fournisseur. Trois gestes. Mettre à jour, puis redémarrer sshd, car le binaire en cours d'exécution conserve l'ancien code jusqu'au redémarrage, étape facile à oublier sur une appliance. Mettre PasswordAuthentication à no sur tout ce qui est joignable depuis internet, ce qui ferme définitivement cette classe de faille et ne coûte rien si vous utilisez déjà des clés. Puis chercher dans les journaux les connexions par mot de passe réussies sur des comptes censés ne pas en avoir, et vérifier les fichiers authorized_keys ainsi que les utilisateurs créés récemment avant de conclure que tout va bien. Pour une petite structure, la leçon est que sur un serveur l'hygiène des clés compte plus que celle des mots de passe, la ligne de partage que nous tenons dans /fr/best/best-password-managers-2026. Et si les conteneurs entrent chez vous par une chaîne de construction, les choix d'outillage décrits dans /fr/best/best-ai-coding-tools-2026 déterminent la vitesse de reconstruction d'une image de base.
Questions et réponses
Suis-je concerné sous Debian ou Ubuntu ?
Le correctif suffit-il ?
Sources
- [1] Help Net Security: OpenSSH flaw exploited in the wild just hours after disclosure consulté le 2026-11-11
- [2] BleepingComputer: Hackers exploit SSHole OpenSSH flaw to breach Linux systems consulté le 2026-11-11
- [3] Alpine Linux security tracker: CVE-2026-123158 consulté le 2026-11-11
