安全监测机构已经捕捉到攻击者在野外利用代号 SSHole、编号 CVE-2026-123158 的 OpenSSH 认证绕过漏洞发起攻击，满足特定条件的 Linux 服务器，攻击者不需要有效密码、SSH 密钥等凭证，只需要提交一段超长密码，就能绕过认证登录原本禁止密码登录的账户，高危场景下还能直接拿到 root 权限。这个漏洞只在 musl libc 环境、没有启用 PAM 认证的 OpenSSH 服务上触发，典型就是 Alpine Linux、OpenWrt 这类系统，漏洞根源是 musl 的 crypt 函数在处理超过 256 字节密码时返回星号，和 /etc/shadow 里标记 “禁止密码登录” 的星号匹配，OpenSSH 校验逻辑误判认证通过。漏洞细节公开之后很短时间内就出现真实利用行为，蜜罐环境已经被攻击者成功拿下权限，攻击者登录后会执行系统信息探测、收集主机敏感信息，后续还可能植入后门、横向渗透内网，运维人员需要尽快自查主机、完成修复或者临时缓解防护。
一、漏洞基础信息清单
- 漏洞代号：SSHole
- 漏洞编号：CVE-2026-123158
- CVSS 评分：8.1（高危）
- 受影响条件（必须全部满足）
- 使用 musl libc 库的 Linux 系统（Alpine Linux、OpenWrt、Buildroot、Yocto 等）
- OpenSSH 版本低于 10.6p2
- SSH 服务没有开启 PAM 认证
- 目标账户在 /etc/shadow 中密码字段为 *（代表禁止密码登录）
- 不受影响：glibc 系 Ubuntu、CentOS、Debian；开启 PAM 的 OpenSSH；Dropbear 等其他 SSH 服务
- 修复版本：OpenSSH 10.6p2（2026-11-05 发布）
二、漏洞攻击原理通俗说明
- 管理员在系统里把账户设置成禁止密码登录，shadow 文件密码位置写入 *，正常情况下任何密码都无法登录。
- musl 的 crypt 哈希函数有长度限制，密码超过 256 字节时哈希计算失败，返回结果也是 *。
- OpenSSH 在关闭 PAM 的校验逻辑下，直接对比两个 *，判定密码校验成功，完成认证放行。
- 攻击者不需要知道真实密码，随便输入 257~1024 字节长度的字符，就能尝试登录这类锁定账户。
三、自查步骤（运维可直接执行）
- 查看系统 C 库：确认是不是 musl 环境
ldd --version
- 列出所有 shadow 中密码字段为 * 的账户
awk -F: '$2 == "" {print $1}' /etc/shadow
- 查看 SSH 日志，排查是否存在异常登录记录
grep -E 'Accepted password for ' /var/log/auth.log
- 运行官方检测脚本一键验证风险
curl -sO https://raw.githubusercontent.com/oz9un/sshole/main/check.sh
sh check.sh
四、修复与临时缓解方案
| 方案 | 操作说明 | 优先级 |
|---|---|---|
| 升级 OpenSSH | 升级至 10.6p2 及以上版本，升级后重启 sshd 服务 | 首选方案 |
| 关闭 SSH 密码认证 | sshd_config 配置 PasswordAuthentication no，重启 ssh 服务 | 临时应急 |
| 启用 PAM 认证 | 开启 PAM 模块，该漏洞无法在 PAM 模式下生效 | 备选防护 |
| 网络层面限制 | 通过防火墙限制 SSH 端口来源 IP，禁止公网直接暴露 SSH | 辅助防护 |
五、容易踩坑的认知误区
- ❌ 误区：所有 Linux 系统都会被 SSHole 漏洞攻击
- ❌ 误区：关闭 root 密码登录就一定安全
- ❌ 误区：升级包之后不用重启 SSH 服务
✅ 事实：只有 musl 环境、未开启 PAM、低版本 OpenSSH 才会中招，主流 glibc 发行版不受影响。
✅ 事实：alpine、deploy 等其他 shadow 字段为 * 的账户同样可以被利用，很多 Alpine 默认 alpine 账号还有 doas 提权能力。
✅ 事实：包升级只会替换文件，已经运行的 sshd 进程不会自动更新，必须重启服务。
【相关 FAQ】
问题 1：OpenSSH SSHole 认证绕过漏洞遭攻击，SSHole 漏洞是什么？
回答 1：OpenSSH SSHole 认证绕过漏洞遭攻击，SSHole 是 CVE-2026-123158 漏洞的代号，是 OpenSSH 的认证绕过缺陷，满足条件时攻击者不用有效凭证，提交超长密码就能登录禁止密码登录的 Linux 账户。
问题 2：OpenSSH SSHole 认证绕过漏洞遭攻击，哪些服务器容易被 SSHole 漏洞攻击？
回答 2：OpenSSH SSHole 认证绕过漏洞遭攻击，主要是 Alpine Linux、OpenWrt 这类 musl libc 系统，OpenSSH 版本低于 10.6p2，并且 SSH 没有启用 PAM 认证的主机。
问题 3：OpenSSH SSHole 认证绕过漏洞遭攻击，SSHole 漏洞该怎么修复？
回答 3：OpenSSH SSHole 认证绕过漏洞遭攻击，优先把 OpenSSH 升级到 10.6p2 版本并重启 sshd；暂时无法升级可以关闭 SSH 密码认证、开启 PAM 或者防火墙限制 SSH 访问。
问题 4：OpenSSH SSHole 认证绕过漏洞遭攻击，攻击者拿到权限之后会做什么？
回答 4：OpenSSH SSHole 认证绕过漏洞遭攻击，攻击者登录后一般先查看系统信息、抓取密钥和配置文件，还会植入后门、利用账号权限横向渗透内网，造成服务器失陷。
问题 5：OpenSSH SSHole 认证绕过漏洞遭攻击，怎么判断服务器有没有被 SSHole 漏洞入侵？
回答 5：OpenSSH SSHole 认证绕过漏洞遭攻击，可以查看 SSH 日志，看标记为禁止密码登录的账户，是否出现 “Accepted password for” 登录记录，也可以运行官方检测脚本快速扫描风险。
【参考资料】
[2026-11-11]（SSHole 漏洞持续野外利用，蜜罐主机被成功获取 root 权限）The Hacker News
[2026-11-08]（OpenSSH SSHole 漏洞 CVE-2026-123158 原理与自查命令）网易
[2026-11-06]（OpenSSH SSHole 密码认证绕过漏洞风险通告）腾讯云安全中心
[2026-11-05]（OpenSSH 发布 10.6p2，修复 SSHole 高危认证绕过漏洞）BleepingComputer
【免责声明】
本文仅基于公开安全通告、厂商披露、安全社区情报整理，只用于安全科普和运维自查参考，不提供漏洞利用教程。不同发行版、容器环境的修复包推送时间存在差异；服务器是否被入侵需要结合日志、主机巡检综合判断，重要业务主机建议尽快完成加固与溯源排查。
本文来自作者[Marin67]投稿，不代表海博商机网立场，如若转载，请注明出处：https://www.hb12369.net/qyzx/202611/273.html
评论列表（4条）
我是海博商机网的签约作者“Marin67”！
希望本篇文章《OpenSSH SSHole 认证绕过漏洞遭攻击，攻击者无需凭证即可入侵部分 Linux 账户》能对你有所帮助！
本站[海博商机网]内容主要涵盖：互联网行业的追踪与探索
本文概览：安全监测机构已经捕捉到攻击者在野外利用代号 SSHole、编号 CVE-2026-123158 的 OpenSSH 认证绕过漏洞发起攻击，满足特定条件的 Linux 服务器，攻击者不需要有效密码、SSH 密钥等凭证，只需要提交一段超长密码，就能绕过认证登录原本禁止密码登录的账户，高危场景下还能直接拿到 root 权限。这个漏洞只在 musl libc 环境、没有启用 PAM 认证的 OpenSSH 服务上触发，典型就是 Alpine Linux、OpenWrt 这类系统，漏洞根源是 musl 的 crypt 函数在处理超过 256 字节密码时返回星号，和 etc shadow 里标记 “禁止密码登录” 的星号匹配，OpenSSH 校验逻辑误判认证通过。漏洞细节公开之后很短时间内就出现真实利用行为，蜜罐环境已经被攻击者成功拿下权限，攻击者登录后会执行系统信息探测、收集主机敏感信息，后续还可能植入后门、横向渗透内网，运维人员需要尽快自查主机、完成修复或者临时缓解防护。