CVE-2026-123158

Hoch8.1 Veröffentlicht am 05.11.2026

sshd in OpenSSH vor 10.6p2 unter Linux lacks, wenn musl libc ohne PAM verwendet wird, eine Workaround für eine Passwort-Authentifizierungsumgehung (in Zusammenhang mit der falschen Interpretation, ob eine Zeichenkette als Passwort-Hash gedacht ist). Bei einigen Konfigurationen von Konten wird jedes Passwort mit einer Länge zwischen 256 und 1024 Zeichen akzeptiert. Ein Beispiel für eine Plattform, die musl libc ohne PAM verwendet, ist Alpine Linux.

Aktiv ausgenutzt

Seit dem 09.11.2026 im CISA-Katalog ausgenutzter Schwachstellen
US-Bundesbehörden müssen sie bis zum 12.11.2026 beheben (BOD 22-01)
Am Tag der Veröffentlichung angegriffen
Durch Sensoren bestätigt, nicht nur durch Meldungen

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Quelle: CISA KEV · 09.11.2026 07.11.2026 07.11.2026 06.11.2026 06.11.2026

CVSS-Score8.1 / 10CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Schwachstellentyp (CWE)CWE-394

Herstelleropenbsd, alpinelinux