По данным публикации ZDNET от 6 ноября 2026 года, уязвимость CVE-2026-123158 может привести к входу по SSH в отдельные учётные записи Alpine Linux без действующего пароля. Риск возникает только при сочетании конкретного пакета OpenSSH, настроек парольной аутентификации и состояния учётной записи. ZDNET пересказывает предупреждение Alpine Linux и сведения исследователей; независимого теста редакции в доступных данных нет.
Какие серверы могут быть затронуты
Согласно ZDNET, Alpine считает уязвимыми проверенные ветки 3.21–3.24, edge и более старые 3.16–3.20. Для эксплуатации, по приведённому описанию, нужны одновременно пакет openssh-server, собранный без PAM, либо openssh-server-pam с параметром UsePAM no, включённая настройка PasswordAuthentication yes и учётная запись без установленного пароля или с соответствующим значением в поле пароля.
Это означает, что одной только версии Alpine недостаточно для вывода о риске. Администратору нужно сопоставить версию пакета OpenSSH, значение PasswordAuthentication, использование PAM и параметры учётных записей. В пересказе ZDNET также названы незатронутыми описанным сценарием системы, где парольная аутентификация отключена, конфигурации openssh-server-pam с UsePAM yes и контейнеры без запущенного sshd.
Как может сработать обход входа
ZDNET описывает ошибку в обработке слишком длинного пароля библиотекой musl. При попытке длиной от 257 до 1024 байт функция crypt(), как утверждается в публикации, возвращает символ * как признак ошибки. Такое же значение может храниться в поле пароля учётной записи без установленного пароля, например у аккаунта, рассчитанного на вход по ключу.
В описанном сценарии результат обработки введённого пароля сравнивается с содержимым поля учётной записи и воспринимается как совпадение. Поэтому атакующему, по данным ZDNET, достаточно знать имя подходящей учётной записи и иметь сетевой доступ к SSH; публикация отдельно отмечает, что речь идёт не о подборе настоящего пароля.
Какие исправления указаны для Alpine
ZDNET сообщает, что 6 ноября Alpine выпустила версии 3.21.10, 3.22.8, 3.23.8 и 3.24.4, где среди исправлений безопасности было обновление OpenSSH. В той же публикации говорится о подготовленных исправленных пакетах для веток, начиная с 3.16.
Практическое действие для администратора — установить обновление из репозитория соответствующей ветки Alpine и затем проверить, что SSH-служба использует новый пакет. До сверки конкретной системы нельзя считать её защищённой только по номеру ветки: нужно отдельно проверить конфигурацию SSH и состояние учётных записей. Номера версий и перечень условий в этой новости приведены по пересказу ZDNET предупреждения Alpine, а не по самостоятельно опубликованному нами бюллетеню или локальному тесту.
Что это меняет для владельца Alpine-сервера
Если на сервере включена парольная аутентификация и используется одна из указанных конфигураций OpenSSH, обновление следует рассматривать как первоочередное действие. Если парольный вход уже отключён, запущенный sshd отсутствует либо используется PAM с UsePAM yes, приведённое условие эксплуатации, согласно пересказу ZDNET, не выполняется. Это не заменяет проверку версии установленного пакета и фактических настроек конкретного узла.
