CVE-2026-123158: OpenSSH en Linux con musl y sin PAM permite entrar sin la contraseña correcta

Qué ocurre

El servidor SSH de OpenSSH (sshd) no incluye, en determinadas plataformas, una protección que sí necesita para comprobar bien las contraseñas. El problema aparece cuando el sistema usa la biblioteca musl libc y no usa PAM: en ese caso sshd puede interpretar mal si una cadena es o no el hash de una contraseña.

Como consecuencia, en algunas configuraciones de cuentas el servidor acepta contraseñas que no son las correctas, lo que permite iniciar sesión sin conocer la contraseña real. La puntuación CVSS es de 8,1 y CISA la ha incluido en su catálogo de vulnerabilidades que se están explotando activamente.

A quién afecta

A sshd de OpenSSH en versiones anteriores a la 10.6p2, en sistemas Linux que usan musl libc sin PAM. Alpine Linux es un ejemplo de plataforma con esa combinación, por lo que conviene revisar especialmente servidores y contenedores basados en ella. Los sistemas que usan PAM o una biblioteca C distinta de musl no se ven afectados según los datos publicados.

Qué hacer

• Actualizar OpenSSH a la versión 10.6p2 o posterior, o aplicar el paquete corregido que publique la distribución, siguiendo el aviso del fabricante.
• Mientras tanto, limitar la exposición del servicio SSH: que no sea accesible desde internet si no hace falta y, si lo es, restringir desde qué direcciones se puede conectar.
• Revisar los equipos expuestos en busca de accesos sospechosos, ya que el fallo se está explotando.