セキュリティ
OpenSSHの「SSHole」脆弱性、PAMなしのmusl系Linuxで257〜1,024文字のパスワードがパスワード未設定アカウントに通る OpenSSH 10.6p2で修正
PAMなしのmusl系Linux（Alpine標準など）で、257〜1,024文字のパスワードがパスワード未設定アカウントに通るOpenSSHの古い欠陥。10.6p2で修正。
この欠陥は特定の構成にのみ当てはまり、Linux全般ではない。OpenSSHは2026年11月5日、「SSHole」と呼ばれる認証回避を修正するPortable OpenSSH 10.6p2を公開した。一部の媒体はCVE-2026-123158として追跡している。C標準ライブラリmuslを使い、PAMなしでsshdを動かすLinux（Alpine標準のOpenSSHパッケージなど）では、そもそもパスワードを受け付けないはずのアカウントに、257〜1,024文字のパスワードが通る。一部の環境ではrootも含まれる。研究者のリポジトリは、この挙動は2016年にさかのぼると述べる。
要点
- 影響を受ける環境：musl libcでビルドされPAMなしで動くsshdで、パスワード認証が有効（OpenSSHの既定）。Alpine、OpenWrt、Buildroot、Yoctoが報道で挙がっている。
- 対象アカウント：パスワード欄がアスタリスクだけのもの。ロックされたアカウント、鍵認証のみのアカウント、一部環境のrootが含まれる。
- 仕組み：256バイトを超えるとmuslのハッシュ関数が失敗してアスタリスクを返し、保存されたアスタリスクと一致する。257〜1,024文字のパスワードが検証を通る。
- 対処：OpenSSH 10.6p2か、ディストリビューションの修正済みパッケージへ更新する。それまではPasswordAuthenticationをnoにする。OpenSSH開発者のダミアン・ミラー氏は、影響を受ける運用者にただちに対処するよう促した。
いつからあるバグか
研究者のWakefieldのÖzgün Kültekin氏はリポジトリで2016年から存在すると述べ、試した最古の版である2017年のmusl 1.1.16上のOpenSSH 7.5p1も影響を受けたという。iTnewsは、長いパスワードに関するタイミング欠陥の修正が今回の回避を生んだという皮肉を指摘する。正確な開始時期は研究者の見立てだ。
CVEと深刻度
SecurityWeekとIONIXはCVE-2026-123158、CVSS 3.1で8.1と伝えるが、Orca Securityは公開時点でCVE未割り当てとしていた。両者は調整していない。ミラー氏は、欠陥はsshd自体ではなくsshd経由で悪用できると述べ、10.6p2の修正は4文字未満の保存ハッシュを拒否する。
確立されていない点
- 実際の攻撃で悪用されたか：我々が見た報道では報告なし。
- 下限の正確な値：多くは257バイト、一部は256。
- 挙げられたもの以外のディストリビューションが影響を受けるか：PAMなしのmuslでパスワード認証が有効かによる。
- 全ベンダーが修正を出したか：お使いのディストリビューションを確認。
比較表
| 項目 | 2026年11月7日時点で示されている内容 | 出典 |
|---|---|---|
| 修正版 | Portable OpenSSH 10.6p2、2026年11月5日 | IONIX |
| 識別子 | SecurityWeekとIONIXによればCVE-2026-123158、CVSS 8.1 | SecurityWeek |
| きっかけ | パスワード欄がアスタリスクのアカウントへの257〜1,024バイトのパスワード | iTnews |
| 条件 | musl libc、PAMなしのsshd、パスワード認証が有効 | IONIX |
| 回避策 | 修正までPasswordAuthentication no | GitHub (oz9un/sshole) |
よくある質問
すべてのLinuxサーバーが影響を受けるか
いいえ。報道によれば、musl libc、PAMなしのsshd、パスワード認証が必要で、主流のディストリビューションの多くはglibcを使う。
鍵認証のみなら安全か
パスワード認証を無効にすればこの経路は閉じるが、根本対策は更新だ。
修正はあるか
はい、Portable OpenSSH 10.6p2。お使いのディストリビューションの修正済みパッケージを確認してほしい。
方法と限界
出典は2026年11月7日に確認した。検索結果として返されたSecurityWeek、iTnews、研究者のGitHubリポジトリ、IONIXを読んだが、脆弱性は試していない。お使いのシステムへのセキュリティ助言ではなく、ベンダーの指示に従ってほしい。
出典
- SecurityWeek：OpenSSH Rushes Patches for 'SSHole' Authentication Bypass（確認日：2026-11-07）
- iTnews：Lightweight Linux distros vulnerable to *sshole password bypass（確認日：2026-11-07）
- GitHub (oz9un/sshole)：openssh on musl accepted any 257+ char password for accounts with no password（確認日：2026-11-07）
- IONIX：SSHhole (CVE-2026-123158) and how IONIX is helping you respond（確認日：2026-11-07）
