OpenSSH開發團隊於2026年11月5日發布10.6p2安全更新，修補特定Linux系統的SSH密碼驗證繞過漏洞。在符合帳號與驗證設定條件時，攻擊者可能以超長密碼登入原本禁止密碼登入的帳號。Alpine Linux已釋出修補套件。

【事件經過】

漏洞由安全研究人員Özgün Kültekin通報，涉及musl函式庫與OpenSSH未使用PAM時的密碼驗證處理。特定錯誤結果可能被誤判為通過驗證，使原本不應成功的登入獲准。

Alpine官方指出，攻擊者須知道目標帳號名稱，並輸入長度257至1,024位元組的密碼。符合利用條件時，即使不知道真正密碼也可能登入。OpenSSH將其列為重大安全修補，但強調根本原因並非完全位於sshd。

【影響範圍】

漏洞編號為CVE-2026-123158；公開CVE資料列出的CVSS v3.1評分為8.1分，屬高風險。

主要影響使用musl函式庫、未啟用PAM，且sshd允許密碼驗證的Linux系統。同時還須存在密碼欄位為「*」的帳號，以及另一個使用特定雜湊格式設有密碼的帳號。

Alpine Linux 3.16至3.24及edge分支已有修補套件。使用glibc、啟用PAM，或設定PasswordAuthentication no的環境，不符合官方列出的利用條件。

預設禁止root密碼登入可限制直接登入root，但其他具備管理權限的帳號仍須檢查。

【建議措施】

管理員應盤點對外提供SSH服務的系統，核對系統函式庫、PAM使用狀態、密碼登入設定及帳號狀態，優先處理對外暴露的伺服器。

使用Alpine Linux者應安裝所屬分支的最新修補套件；上游修補版本為OpenSSH 10.6p2，但Linux發行版可能透過回溯修補方式保留較舊版號。

更新後務必重新啟動sshd，並確認新連線正常。無法立即更新者，應先確認SSH金鑰登入可正常使用，再設定PasswordAuthentication no、檢查設定並重新啟動服務。

此外，應檢查系統日誌，確認是否有無密碼帳號異常出現密碼登入成功紀錄。

【國內機關與企業之影響與因應】

目前查得的官方公告未提供台灣受害案例，也未確認本漏洞已遭實際攻擊。

國內使用Alpine Linux或其他musl系統提供SSH服務的政府機關、金融業及企業，應依實際部署條件判斷風險，避免將所有OpenSSH或Linux主機一概視為受影響。

建議將SSH身分驗證、管理權限、外部存取限制與修補紀錄納入組態基準（GCB）或既有維運稽核，並保存檢查與更新驗證證據。

【新聞出處】

原文標題：OpenSSH 爆發重大安全漏洞，只要輸入超長密碼即可繞過身份驗證

媒體名稱：HKEPC

發布日期：未能查得，待原文確認

原文網址：
https://www.hkepc.com/27193/OpenSSH_爆發重大安全漏洞_只要輸入超長密碼__即可繞過身分驗證

官方補充資料：OpenSSH 10.6p2 Release Notes

發布日期：2026年11月5日

官方網址：
https://www.openssh.org/releasenotes.html#10.6p2

官方補充資料：Alpine Linux OpenSSH Password Authentication Bypass Advisory

發布日期：2026年11月5日

官方網址：
https://www.alpinelinux.org/posts/2026-11-05-openssh-password-authentication-bypass/