Falha batizada de *sshole permite login sem senha em dispositivos Linux
Uma vulnerabilidade no OpenSSH afeta configurações padrão do Alpine Linux e pode permitir que atacantes entrem em contas sem senha usando uma senha extremamente longa. Veja quem é afetado e o que fazer.
Por Denise Sampaio · Repórter de Segurança
O que aconteceu
Pesquisadores identificaram uma falha de segurança no OpenSSH, o programa mais usado para acesso remoto seguro a servidores Linux, batizada de *sshole e catalogada como CVE-2026-123158. O problema permite que um atacante faça login em contas sem senha cadastrada bastando enviar uma senha muito longa — entre 256 e 1024 caracteres — no momento da autenticação.
A causa está na forma como o OpenSSH, quando compilado contra a biblioteca musl (usada por padrão no Alpine Linux, uma distribuição Linux voltada a ambientes leves e containers) e sem o módulo PAM de autenticação, verifica senhas. A função crypt() do musl devolve o caractere "" como resposta de erro para senhas longas demais — e esse mesmo "" é o valor salvo internamente para contas que não têm senha definida. Na prática, um erro é confundido com uma credencial válida, e a porta se abre.
A falha foi descoberta pelo pesquisador Özgün Kültekin e recebeu nota 8.1 (alta severidade) na escala CVSS.
Quem é afetado
- Todas as versões do Alpine Linux entre a 3.16 e a edge (a de desenvolvimento), no pacote padrão openssh-server.
- Qualquer sistema que compile o OpenSSH contra musl sem PAM, ou com PAM configurado com a opção UsePAM no.
- Distribuições baseadas em glibc, como Debian, Ubuntu e Fedora, não são afetadas por esse mecanismo específico — mas administradores de sistemas customizados ou embarcados devem verificar sua configuração.
O que fazer agora
- Atualize o OpenSSH para a versão 10.6p2 ou posterior, lançada em 5 de novembro de 2026, que corrige o problema.
- No Alpine Linux, aplique os pacotes de segurança já disponibilizados para todas as versões suportadas, da 3.16 à edge.
- Reinicie o serviço sshd depois de aplicar qualquer atualização — a correção só entra em vigor após o reinício.
- Caso não seja possível atualizar imediatamente, desative a autenticação por senha no SSH adicionando a linha PasswordAuthentication no ao arquivo de configuração do servidor e reiniciando o serviço.
- Revise se existem contas sem senha configurada no servidor e, se não forem necessárias, desative-as.
- Monitore logs de acesso SSH em busca de tentativas de login com senhas anormalmente longas, um indício do uso dessa técnica.