> Список всех страниц есть в [llms.txt](https://kupivps.com/llms.txt). Эта страница на сайте: https://kupivps.com/news/openssh-obhod-parolya-pri-vhode-po-ssh-cve-2026-123158

# OpenSSH: обход пароля при входе по SSH

Найдена критическая уязвимость в OpenSSH на Linux-системах с musl libc. При определённой конфигурации подходит любой пароль длиной 256–1024 символа.

_Безопасность · 10 ноября 2026 · severity: critical · CVE-2026-123158_

## Что случилось

В OpenSSH до версии 10.6p2 включительно обнаружен баг, позволяющий войти на сервер с произвольным паролем. Проблема затрагивает системы на базе **musl libc** без PAM — в первую очередь **Alpine Linux**, популярную у хостинг-провайдеров для контейнеров и лёгких VPS.
Суть: при проверке пароля длиной от 256 до 1024 символов сервер ошибочно интерпретирует его как хеш, что при определённой конфигурации учётных записей приводит к успешной аутентификации с любым паролем из этого диапазона.

## Кого касается

- Серверы на Alpine Linux и других дистрибутивах с musl libc без PAM
- Конфигурации с включённой парольной аутентификацией (PasswordAuthentication yes)
- Учётные записи с паролями, не использующие ключи SSH
Если на вашем VPS стоит Debian, Ubuntu, CentOS или другая glibc-система — угроза не актуальна. Риск максимален для контейнеров и минимальных образов, где часто выключают PAM ради экономии ресурсов.

## Что делать

**1. Обновите OpenSSH**
Для Alpine Linux:
apk update && apk upgrade openssh Проверьте версию после обновления — нужна 10.6p2 или новее.
**2. Временная защита, если обновление невозможно**

- Отключите парольную аутентификацию: `PasswordAuthentication no` в `/etc/ssh/sshd_config`
- Перейдите на ключи SSH для всех пользователей
- Ограничьте доступ по IP через firewall
**3. Проверьте логи**
Поищите подозрительные успешные входы с необычными паролями:
grep "Accepted password" /var/log/auth.log При подозрении на взлом смените все пароли и ключи.

Источник: https://nvd.nist.gov/vuln/detail/CVE-2026-123158