OpenBSD OpenSSH の脆弱性（CVE-2026-123158）

何が起きた

サーバーに遠くからログインするための OpenSSH に、パスワードの確認をすり抜けられる弱点が見つかり、アメリカの CISA が実際に悪用されていることを確認しています。CVE の記録によると、Linux で musl libc を使い、PAM を使わない場合に、アカウントの設定によっては 256 から 1024 文字のどんなパスワードでもログインできてしまいます。ネットワーク越しに、ログインしていない攻撃者が悪用できるおそれがあります。OpenSSH は、原因は sshd の外にあるものの、sshd を通じて悪用でき、sshd の側で防げるとしています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Linux で、musl libc を使い PAM を使わない OpenSSH のサーバー（sshd）が対象です。CVE の記録によると、影響を受けるのは OpenSSH 10.6p2 より前の版で、例として Alpine Linux が挙げられています。Alpine によると、パスワードでのログイン（PasswordAuthentication）が有効な場合だけが対象で、これは OpenSSH の初めの設定です。Alpine は、パスワードが設定されていないアカウントがあることなども条件に挙げています。

何をすればいい

OpenSSH と、使っている Linux の配布元の公式の案内を確認し、OpenSSH 10.6p2 以降か、配布元の修正版に更新してください。Alpine は、更新のあとに sshd を再起動するよう案内しています。更新だけでは動いている sshd は入れ替わらないためです。すぐに更新できない場合、Alpine は PasswordAuthentication を no にして、パスワードでのログインを止めるよう案内しています。その前に、鍵でログインできることを確かめ、今の接続を開いたままにしておくよう勧めています。また、パスワードのないアカウントでログインに成功した記録がないかを確かめ、ないと言い切れなければ侵入されたものとして扱うよう勧めています。

やることチェックリスト

• OpenSSH を 10.6p2 以降か配布元の修正版に更新する
• 更新のあとに sshd を再起動する
• 鍵でログインできると確かめ、PasswordAuthentication を no にする

用語メモ

OpenSSH

ネットワーク越しに、安全にほかのコンピューターへログインして操作するためのソフトウェアです。

sshd

OpenSSH のうち、サーバー側でログインを受け付けるプログラムです。

musl libc

プログラムが使う基本的な部品をまとめたもの（C ライブラリ）の一つです。Alpine Linux などで使われています。

PAM

Linux などで、ログインのときの本人確認の方法をまとめて管理するしくみです。