Ep.792 – Spécial OpenSSH, la faille sshole sur Alpine Linux – vendredi 6 novembre 2026

Dans RadioCSIRT, son podcast quotidien de cybersécurité, Marc Frédéric Gomez consacre un épisode spécial à sshole, la faille d'OpenSSH qui permet d'ouvrir sans mot de passe des comptes sur les serveurs Linux bâtis sur musl libc, dont Alpine Linux. Il explique le mécanisme, une convention Unix et deux choix de conception qui se combinent, la première exploitation constatée quelques heures après la publication et les gestes à faire après la mise à jour.

Sshole, une étoile qui ouvre les comptes

Dans cet épisode spécial de RadioCSIRT, Marc Frédéric Gomez détaille sshole, la faille CVE-2026-123158 corrigée en urgence par OpenSSH 10.6p2, publiée le 5 novembre 2026. Signalée par le chercheur Özgün Kültekin, de la société Wakefield, elle touche le serveur sshd des systèmes Linux bâtis sur la bibliothèque musl libc sans PAM, comme Alpine Linux : un mot de passe de plus de 256 octets fait échouer le calcul d’empreinte, qui renvoie alors une étoile, identique au champ des comptes qui ne doivent accepter aucun mot de passe, et la session s’ouvre. Selon l’épisode, la société Previdian a observé une première tentative d’exploitation moins de neuf heures après la publication de la faille.

Pour aller plus loin

• Alpine Linux : avis de sécurité sur le contournement de l’authentification d’openssh-server
• OpenSSH : notes de version 10.6p2
• sshole, par Özgün Kültekin (Wakefield)
• CVE Program : fiche CVE-2026-123158
• Help Net Security : faille OpenSSH exploitée quelques heures après sa divulgation
• The Hacker News : le correctif d’urgence d’OpenSSH
• Cyber Security News : contournement critique de l’authentification OpenSSH
• TheCyberThrone : SSHole, CVE-2026-123158
• Reddit, r/cybersecurity : discussion sur la faille
• Le site de RadioCSIRT
• La newsletter de RadioCSIRT

FAQ

Qu’est-ce que la faille sshole d’OpenSSH ?

Sshole est le surnom de la CVE-2026-123158, un contournement de l’authentification par mot de passe du serveur sshd sur les systèmes Linux qui utilisent musl libc sans PAM, dont Alpine Linux. Un mot de passe trop long fait échouer le calcul d’empreinte, qui renvoie une étoile : le serveur la compare au champ des comptes sans mot de passe et ouvre la session.

Comment se protéger de la faille sshole sur Alpine Linux ?

Alpine a publié des paquets corrigés pour ses branches, mais la mise à jour ne redémarre pas le serveur SSH en cours : il faut relancer le service, ou à défaut couper l’authentification par mot de passe. Pour la détection, l’épisode recommande de chercher dans les journaux les connexions acceptées par mot de passe sur un compte qui n’en a pas.