Une vulnérabilité particulièrement sérieuse vient d'être découverte dans OpenSSH, le logiciel permettant notamment d'administrer un serveur Linux à distance. Identifiée sous la référence CVE-2026-123158 et surnommée « *sshole », elle permet, dans certaines configurations, de contourner l'authentification par mot de passe et d'accéder à un compte pourtant censé être protégé.
Le problème est suffisamment préoccupant pour que les développeurs d'OpenSSH publient un correctif d'urgence le 5 novembre 2026, rapidement suivi d'une alerte officielle du CERT-FR, l'organisme français chargé de la réponse aux incidents de cybersécurité. Bonne nouvelle toutefois : toutes les installations d'OpenSSH ne sont pas concernées.
Un mot de passe très long suffit à contourner la protection
La faille concerne certains systèmes Linux utilisant la bibliothèque système musl, notamment Alpine Linux, lorsque le serveur OpenSSH fonctionne sans le module d'authentification PAM. Encore faut-il que l'authentification par mot de passe soit activée et que certaines conditions liées aux comptes présents sur la machine soient réunies.
Le problème vient d'une mauvaise interprétation du résultat d'une fonction chargée de vérifier les mots de passe. Lorsqu'elle reçoit une valeur anormalement longue, cette fonction peut renvoyer un simple astérisque. Or, sur certains comptes Linux, ce même caractère sert justement à indiquer qu'aucun mot de passe classique n'est défini. OpenSSH peut alors considérer à tort que l'authentification a réussi.
Concrètement, un attaquant connaissant le nom d'un compte concerné peut parvenir à s'y connecter avec un mot de passe de plus de 256 octets, sans connaître les véritables identifiants. Selon Alpine Linux, lorsque toutes les conditions sont réunies, une seule connexion suffit. Il ne s'agit donc pas d'une attaque nécessitant des milliers de tentatives de mots de passe.
Alpine Linux particulièrement concerné, mais pas tous les serveurs
Alpine Linux est une distribution légère largement utilisée dans les environnements techniques, les machines virtuelles et les infrastructures de conteneurs. Son paquet OpenSSH standard est compilé sans PAM, ce qui explique pourquoi ses responsables ont rapidement publié une alerte de sécurité.
La vulnérabilité touche notamment les systèmes où l'authentification par mot de passe reste autorisée, où un compte possède un mot de passe désactivé représenté par un astérisque et où au moins un autre compte utilise un hachage de mot de passe compatible. Les installations utilisant PAM pour l'authentification ou ayant désactivé les connexions SSH par mot de passe ne sont pas exposées à cette faille.
Précisons également que les distributions Linux utilisant la bibliothèque glibc ne sont pas concernées par ce mécanisme particulier. De même, un conteneur Alpine qui n'exécute aucun serveur SSH ne devient pas vulnérable simplement parce qu'il utilise cette distribution. Synology a par ailleurs confirmé que ses produits ne sont pas affectés par la CVE-2026-123158, dans son bulletin de sécurité officiel.
OpenSSH 10.6p2 corrige la faille : que faut-il faire ?
Les développeurs ont publié OpenSSH 10.6p2 le 5 novembre pour empêcher ce contournement de l'authentification. Alpine Linux propose également des paquets corrigés pour ses différentes branches, sans imposer systématiquement une mise à niveau vers cette version précise d'OpenSSH. Les versions Alpine 3.22.8, 3.23.8 et 3.24.4 intègrent notamment les correctifs.
Sur une installation Alpine concernée, les administrateurs peuvent appliquer les mises à jour disponibles avec la commande apk upgrade -U -a. Il est ensuite indispensable de redémarrer le service SSH avec rc-service sshd restart : mettre le paquet à jour ne remplace pas automatiquement le serveur déjà en cours d'exécution.
Si l'installation immédiate du correctif est impossible, le CERT-FR recommande de désactiver l'authentification SSH par mot de passe, en utilisant la directive PasswordAuthentication no, ou de désactiver temporairement le service SSH. Avant toute modification, il faut toutefois s'assurer qu'une connexion par clé fonctionne correctement pour ne pas perdre l'accès à sa propre machine.
Les recommandations détaillées et les versions corrigées sont disponibles dans le bulletin officiel d'Alpine Linux, tandis que l'alerte CERTFR-2026-ALE-015 précise les conditions d'exploitation et les mesures de protection.
Aucune campagne d'exploitation active à grande échelle n'a été publiquement confirmée au moment de cette rédaction. Mais avec un contournement potentiellement aussi simple et des correctifs déjà disponibles, les administrateurs des systèmes concernés n'ont guère de raison de remettre leur mise à jour à plus tard.
Commentaires
Pas encore de réactions : partagez votre avis, une question ou un complément d’information !