CVE-2026-123158: Bypass Password in OpenSSH su Linux

CVE-2026-123158 identifica una falla critica in sshd, il daemon SSH di OpenSSH nelle versioni precedenti a 10.6p2 su sistemi Linux con musl libc e senza PAM. La vulnerabilità risiede in una errata interpretazione di quando una stringa debba essere considerata hash password. In alcuni account, qualsiasi password tra 256 e 1024 caratteri bypassa l'autenticazione, consentendo accesso non autorizzato. Alpine Linux, che usa musl libc senza PAM, è specificamente vulnerabile.

Il punteggio CVSS è 8,1, classificato come high severity da NVD. La vulnerabilità è stata pubblicata il 2026-11-05 ed è segnalata come nova nel panorama security. Su GitHub sono state rilevate repository pubbliche che dichiarano di contenere exploit correlati. I segnali su X mostrano 11 post nelle ultime 24 ore con elevato engagement, confermando consapevolezza e attenzione della community. Lo stato è verificato attraverso fonte ufficiale NVD e segnali coerenti da molteplici canali.

Per i difensori, azioni immediate: 1) verificare la versione di OpenSSH con 'ssh -V' su tutti i sistemi critici, prioritariamente su Alpine Linux e distribuzioni con musl; 2) applicare l'aggiornamento a 10.6p2 o superiore non appena disponibile; 3) come mitigation temporanea, disabilitare l'autenticazione password e usare chiavi SSH; 4) revisionare i log di autenticazione SSH recenti per rilevare accessi anomali o patterns sospetti; 5) verificare account e permessi per eventuali modifiche non autorizzate.

La configurazione specificamente interessata è OpenSSH su Linux con musl libc senza PAM. I sistemi con glibc standard o con PAM abilitato non sono direttamente esposti alla stessa falla. Tuttavia, amministratori di ambienti eterogenei devono verificare ogni host, poiché la distinzione può non essere immediata. Alpine Linux rimane il caso d'uso più critico in questa vulnerabilità.