CVE-2026-123158

Alta8.1 Publicada el 5 nov 2026

sshd en OpenSSH anterior a 10.6p2 en Linux, cuando se utiliza musl libc sin PAM, carece de una solución alternativa para una omisión de la autenticación por contraseña (relacionada con la interpretación errónea de si una cadena está destinada a ser un hash de contraseña). Para algunas configuraciones de cuentas, cualquier contraseña de entre 256 y 1024 caracteres tiene éxito. Un ejemplo de plataforma que utiliza musl libc sin PAM es Alpine Linux.

Explotada activamente

En el catálogo CISA de vulnerabilidades explotadas desde el 9 nov 2026
Las agencias federales de EE. UU. deben corregirla antes del 12 nov 2026 (BOD 22-01)
Atacada el mismo día de la divulgación
Confirmada por sensores, no solo por informes

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Fuente: CISA KEV · 9 nov 2026 7 nov 2026 7 nov 2026 6 nov 2026 6 nov 2026

Puntuación CVSS8.1 / 10CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Tipo de debilidad (CWE)CWE-394

Fabricantesopenbsd, alpinelinux