北京时间2026年11月10日，美国网络安全与基础设施安全局（CISA）已把OpenSSH认证绕过漏洞CVE-2026-123158加入已知被利用漏洞目录，并把处置期限设为11月12日，目录条目同时标记需要取证分流。安全公司Previdian称，其传感器在11月6日至8日记录20次利用尝试，涉及13个攻击方IP，IP地址的地理分布覆盖9个国家。两项更新把报道重点从漏洞披露转向现实攻击活动，但20次尝试不等于20次成功入侵，9个国家也不是受害者所在国家。

超长输入与错误值匹配

Alpine公告称，攻击者需要能够连接目标SSH端口，并知道一个密码字段为星号的账户名。目标机器还必须存在至少一个使用$5$或$6$格式密码哈希的本地账户。满足这些前提后，攻击者提交257至1024字节的超长密码，不必知道目标账户的真实密码即可通过认证；这一描述不适用于拥有有效密码哈希的普通账户。Alpine称在符合条件的环境中只需一次连接，不依赖连续重试。

技术原因出现在sshd与musl的密码处理交界。没有PAM时，sshd会调用C库的crypt()函数计算输入并与存储字段比较；当输入超过256字节，musl的crypt()返回星号作为错误值。无密码或仅使用密钥的账户在影子密码文件中也可能存有星号，两边字符相同后被错误判为认证成功。OpenSSH把根因归于sshd之外，但确认可从sshd路径利用并可在其中规避。Alpine说明，sshd还会从另一账户借用盐值完成这次比较，修复用于阻止错误返回值被当成成功认证。

利用前提与排除范围

并非只要安装Alpine就能触发该问题。Alpine列出的条件还包括PasswordAuthentication保持yes、openssh-server未使用PAM或openssh-server-pam设置UsePAM no、至少一个可登录账户的密码字段为星号，以及另一个本地账户拥有$5$或$6$哈希。官方tiny-cloud镜像首次启动时仍是安全的，但管理员设置控制台密码或通过用户数据加入哈希密码后，可能满足组合条件。其alpine账户具有免密码doas权限，因此一旦被登录可进一步取得root。

Alpine明确排除了多类常见场景：容器内不运行sshd、明确设置PasswordAuthentication no、openssh-server-pam启用UsePAM yes、账户使用感叹号锁定、系统没有美元符号格式密码哈希，以及由cloud-init关闭密码认证的云镜像。Debian、Ubuntu、Fedora等使用glibc的系统也不在这条musl路径内，因此不能把披露概括成所有Linux设备均可被直接登录。root账户还受OpenSSH默认PermitRootLogin prohibit-password保护，除非管理员另行改成yes。

修复版本与应急缓解

OpenSSH 10.6p2于11月5日发布。Alpine为3.16至3.24和edge列出对应修复包，其中3.24固定为10.3_p1-r2，edge固定为10.6_p2-r0；不同稳定分支使用各自回移版本。Alpine要求执行更新后再重启sshd，并说明3.21.10、3.22.8、3.23.8、3.24.4及以后镜像包含修复。旧点版本的运行实例仍需单独更新或关闭密码认证。3.20及更早分支也有回移包，但部分版本已停止常规支持。

无法立即升级时，Alpine建议先确认密钥登录可用，再把PasswordAuthentication设为no、检查配置并重启sshd。管理员还可在系统日志中查找本不应接受密码登录的账户是否出现Accepted password记录，并复核doas使用、新建用户、文件与授权密钥。官方公告要求，在无法排除异常登录时把机器按可能受侵处理；这项早期建议本身只界定排查范围，最新利用状态以后文CISA与Previdian材料为准。公告还给出sshd -t与sshd -T检查方式，用于验证配置和密码认证状态。

已知利用状态与观测边界

CISA在11月9日把该漏洞加入Known Exploited Vulnerabilities目录，说明机构已掌握其被用于现实攻击的证据，但目录没有给出攻击者身份、受害者数量或活动规模。条目把处置期限设为11月12日，要求按照厂商说明采取缓解措施，并在适用的BOD 26-04指导下评估互联网暴露；若没有可用缓解措施，则按适用指导停止使用相关产品。条目还标记需要forensic triage，即取证分流，并把已知勒索软件活动写为Unknown，不能改写成已确认没有勒索软件使用。

Previdian的公开传感器页称，11月6日至8日共观察到20次尝试，来自13个不同攻击方IP，相关IP的地理分布覆盖9个国家。该公司把这些记录定义为利用尝试，并明确区分尝试与成功，因此这些数字不能写成20台设备被攻陷、13名攻击者或9个受害国家；CISA的目录条目也没有为活动规模提供另一组数字。Ars Technica授权公开信息流在11月9日发布新的标题、短摘要、时间与链接，标题称漏洞正被利用；技术影响条件、修复版本和缓解步骤仍以OpenSSH、Alpine及CISA公开材料为准。