Alvarlegur veikleiki uppgötvaðist í OpenSSH þann 5. nóvember og nær til Linux kerfa sem nota musl libc eins og Alpine Linux. Misnotkun á veikleikanum gerir óauðkennum ógnaraðila kleift komast fram hjá lykilorðaauðkenningu og fá þannig óheimilaðan aðgang að Linux kerfum sem eru berskjölduð fyrir veikleikanum.
CERT-IS mælir með að uppfært sé eins fljótt og auðið er í útgáfu þar sem veikleikarnir hafa verið lagfærðir.
OpenSSH
CVE-2026-123158 | CVSSv3 8.1
Alvarlegur veikleiki hefur uppgötvast í OpenSSH og hlotið nafnið *sshole. Veikleikinn nær til kerfa þar sem musl libc er notað sem er m.a. notað í Alpine Linux og felur í sér að villugildi er ranglega túlkað af OpenSSH sem gilt tætigildi (e. hash) lykilorðs. Að ákveðnum skilyrðum uppfylltum getur ógnaraðili þannig fengið aðgang með því að nota lykilorð sem er á milli 256 og 1024 stafir að lengd, jafnvel þótt tiltekinn reikningur leyfi ekki lykilorð (e. Password-Disabled). Veikleikinn hefur verið lagfærður í útgáfum sem eru nýrri en 10.6p2 og er mikilvægt að uppfæra í örugga útgáfu sem allra fyrst.
- https://nvd.nist.gov/vuln/detail/cve-2026-123158
- https://alpinelinux.org/posts/2026-11-05-openssh-password-authentication-bypass/ https://www.bleepingcomputer.com/news/security/openssh-flaw-lets-attackers-log-into-password-disabled-linux-accounts/
- https://sshhole.com/
- https://blog.checkpoint.com/exposure-management/a-critical-ssh-password-bypass-hits-musl-based-linux/