This post is also available in: Português
A CVE-2026-123158 é uma vulnerabilidade de severidade alta, com CVSS de 8.1, que permite a um atacante remoto acessar determinadas contas sem conhecer a senha. A falha está no servidor OpenSSH e afeta sistemas Linux que usam a biblioteca musl libc e validam senhas sem PAM, combinação presente em instalações do Alpine Linux. A vulnerabilidade foi incluída no Catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV) da CISA em 9 de novembro de 2026.
A correção está disponível no OpenSSH Portable 10.6p2 e em pacotes atualizados do Alpine Linux. Depois de instalar a atualização, é necessário reiniciar o sshd para que o serviço passe a usar o binário corrigido.
O que é o OpenSSH e qual componente é afetado?
O OpenSSH é uma suíte de código aberto mantida por desenvolvedores do projeto OpenBSD. Ela implementa o protocolo SSH, utilizado para administração remota, transferência segura de arquivos e encaminhamento de conexões. A edição Portable adapta o OpenSSH para outros sistemas operacionais, incluindo o Linux.
A vulnerabilidade está no sshd, processo que recebe conexões SSH e autentica usuários no servidor. Para avaliar a exposição, o inventário deve identificar onde esse serviço está em execução e quais métodos de autenticação estão habilitados. A instalação do cliente SSH em uma estação de trabalho ou em uma imagem de contêiner, por si só, fica fora do escopo da falha.
Como funciona a falha de autenticação?
Em instalações que validam senhas sem PAM, sigla para Pluggable Authentication Modules, o sshd depende de uma função da biblioteca C para processar a senha recebida. Em determinadas configurações de conta, o OpenSSH interpreta incorretamente o valor devolvido pela musl libc e pode aceitar o acesso sem validar a senha como deveria. O erro ocorre justamente na etapa que decide se a conexão pode avançar para uma sessão autenticada.
O registro da CVE associa a falha à CWE-394, categoria que descreve o tratamento inadequado de códigos de status ou valores de retorno inesperados. Nesse caso, a consequência é uma decisão incorreta de autenticação.
Quais versões e ambientes estão expostos?
O cenário afetado combina Linux com musl libc, uma versão vulnerável do OpenSSH Portable anterior à 10.6p2, validação de senhas sem PAM e autenticação por senha habilitada. A possibilidade de acesso também depende da configuração das contas locais. Instalações baseadas em glibc, como as compilações padrão do Red Hat Enterprise Linux, ficam fora desse cenário. No Alpine, instalações que usam o pacote com suporte a PAM e têm UsePAM yes efetivamente habilitado também ficam fora do escopo.
O projeto Alpine identificou a falha nas séries 3.16 a 3.24 e na ramificação edge. Em contêineres, a exposição depende de haver um sshd em execução e acessível pela rede. Em nuvem, a análise deve considerar a configuração efetiva de cada instância, pois ajustes feitos durante o provisionamento podem alterar os métodos de autenticação disponíveis.
Qual é o impacto da CVE-2026-123158?
A pontuação 8.1 no CVSS 3.1 classifica a vulnerabilidade como de severidade alta. Um atacante que consiga alcançar o serviço pela rede pode obter uma sessão SSH com as permissões da conta afetada. Dependendo dos privilégios disponíveis, essa sessão pode permitir a leitura de arquivos, a execução de comandos e o acesso a credenciais ou recursos internos. Se a conta puder executar tarefas administrativas, o impacto pode chegar ao controle do sistema.
O Centro Integrado de Segurança Cibernética do Governo Digital (CISC Gov.br) registrou relatos de tentativas de exploração e de acesso com privilégios de root em um honeypot Alpine, ambiente montado para observar atividade maliciosa. A exploração observada e a inclusão no catálogo KEV dão prioridade à correção de servidores expostos à internet e de pontos de acesso administrativo que concentram conexões para outros sistemas.
Como corrigir a vulnerabilidade no OpenSSH?
Atualize para o OpenSSH Portable 10.6p2 ou para o pacote corrigido da distribuição. No Alpine Linux, as versões 3.21.10, 3.22.8, 3.23.8 e 3.24.4 já incluem a correção. O projeto também aplicou o patch a pacotes de versões anteriores do OpenSSH. Por isso, ao verificar a atualização, confira a revisão do pacote indicada no aviso oficial para a série do Alpine instalada. Depois de atualizar, reinicie o sshd e valide o acesso administrativo em uma nova conexão.
Quando a atualização imediata for inviável, o Alpine orienta a desabilitar a autenticação por senha com PasswordAuthentication no e reiniciar o serviço. Antes de aplicar a mudança, confirme que o acesso por chave funciona e mantenha a sessão administrativa atual aberta até testar uma nova conexão. Verifique também a configuração efetiva do serviço, incluindo regras específicas por usuário ou origem. Durante a correção, restringir o acesso ao SSH a redes administrativas, VPNs ou bastions reduz a exposição.
O que verificar em servidores que estiveram expostos?
Revise os registros do sshd no período de exposição e procure autenticações por senha bem-sucedidas em contas que normalmente usam apenas chaves ou que não deveriam autenticar por senha. Correlacione os horários com as origens das conexões e verifique a criação de usuários, alterações em chaves autorizadas, mudanças em arquivos sensíveis e o uso de ferramentas de elevação de privilégios, como o doas.
Se houver indícios de acesso indevido, preserve os registros e acione o processo de resposta a incidentes. A investigação deve apurar quais contas e recursos foram acessados, quais alterações ocorreram e se há credenciais que precisam ser revogadas ou substituídas.
This post is also available in: Português
