sshole-Lücke: OpenSSH 10.6p2 stoppt Login-Umgehung auf musl-Systemen

Eine unter der Bezeichnung „sshole“ bekannt gewordene Sicherheitslücke ermöglicht Angreifern die unbefugte Anmeldung an Konten auf bestimmten Systemen unter Alpine Linux und weiteren musl-basierten Distributionen. Das Problem betrifft Benutzerkonten, deren Passwort-Authentifizierung über ein Sternchen-Symbol in der Datei /etc/shadow gesperrt ist.

Wie aus Berichten vom 05.11.2026 hervorgeht, haben die Entwickler von OpenSSH das Update auf die Version 10.6p2 bereitgestellt, um das Problem zu beheben, während viele Distributionen und Download-Server zu diesem Zeitpunkt noch die Version 10.6p1 auslieferten.

Die Schwachstelle wird unter der Kennung CVE-2026-123158 geführt und weist einen CVSS-3.1-Score von 8.1 auf. Nach Angaben aus entsprechenden Berichten steht der Eintrag nicht im KEV-Katalog der US-Cybersicherheitsbehörde CISA, und offizielle Stellen verzeichneten zunächst keine bekannten Angriffe. Der Sicherheitsforscher Kevin Beaumont meldete demgegenüber jedoch bereits einen aktiven Missbrauch der Schwachstelle.

Spezifische Voraussetzungen ermöglichen Authentifizierungsumgehung

Für eine erfolgreiche Ausnutzung müssen mehrere Bedingungen zusammenkommen: Das System muss auf der C-Standard-Bibliothek musl libc basieren und einen OpenSSH-Server ohne PAM-Unterstützung oder mit der Konfiguration UsePAM no betreiben. Zudem muss die Passwort-Authentifizierung aktiv sein, was dem Standard entspricht.

Auf dem Zielsystem muss mindestens ein gesperrtes Konto mit einem Sternchen sowie mindestens ein weiteres Konto mit einem gültigen Hash nach dem Standard $5$ oder $6$ vorhanden sein. Angreifer können sich dann Zugang verschaffen, indem sie ein Passwort mit einer Länge von 257 bis 1024 Zeichen übermitteln.

Die französische Cybersicherheitsbehörde CERT-FR warnte in einer Sicherheitsmeldung, dass Versionen vor OpenSSH 10.6p2 eine Umgehung der SSH-Authentifizierung auf Linux-Systemen mit musl ohne PAM ermöglichen.

Warum 85% der Top-Supercomputer auf Linux setzen, liegt an der enormen Stabilität und Sicherheit des Systems – sofern man die richtigen Konfigurationen kennt. Entdecken Sie im kostenlosen Startpaket, wie Sie die Vorteile von Ubuntu sofort und ohne Risiko testen. Ubuntu Startpaket mit Vollversion jetzt kostenlos sichern

Sofern die Bedingungen zutreffen, sei die Ausnutzung trivial. Das CERT-FR empfahl Administratoren, die Passwort-Authentifizierung zu deaktivieren oder den Dienst abzuschalten sowie Konten mit gesperrtem Status auf unberechtigte Logins zu überprüfen.

Entdeckt wurde die Lücke von Özgün Kültekin von Wakefield, der sie mithilfe eines KI-Agenten über rund 17.600 Authentifizierungstests aufspürte und am Vortag des Release meldete. OpenSSH-Entwickler Damien Miller riet Betreibern dazu, unverzüglich die Einstellung PasswordAuthentication=no zu konfigurieren und den Dienst neu zu starten oder SSH komplett zu deaktivieren.

Die Veröffentlichung des Fixes sei beschleunigt worden, da KI-Agenten derartige Fehler mitunter innerhalb von Stunden erneut aufspüren könnten und lange Embargo-Phasen daher als riskant gelten.

Alpine Linux und Cloud-Images im Fokus

Einem Sicherheitshinweis von Alpine Linux zufolge akzeptieren gesperrte Konten mit einem Sternchen in /etc/shadow unter den genannten Bedingungen ein beliebiges Passwort der entsprechenden Länge. Die Distribution sperrt das Root-Konto seit Version 3.16 aus dem Jahr 2022 standardmäßig mit einem Sternchen statt mit einem Ausrufezeichen.

Betroffen sind auch offizielle Cloud-Images für AWS und Azure mit tiny-cloud in den Versionen 3.18.11 bis 3.24.3: Auf diesen existiert der Standardbenutzer „alpine“ mit passwortlosen Rechten für doas, wodurch bei Vorhandensein eines entsprechenden Hashes eine Übernahme mit Root-Rechten über einen einzigen Befehl möglich wird.

Wer sich mit der Absicherung von Betriebssystemen befasst, erkennt schnell, dass Geschwindigkeit und Stabilität Hand in Hand gehen müssen. Dieses kostenlose Linux-Startpaket zeigt Schritt für Schritt, wie Sie Ubuntu parallel zu Ihrem bestehenden System installieren – ohne Risiko und ohne Datenverlust. 5 sofort umsetzbare Schritte zum Linux-Umstieg entdecken

Alpine Linux stellte korrigierte Pakete bereit, darunter edge 10.6_p2-r0, 3.24 10.3_p1-r2, 3.23 10.2_p1-r1, 3.22 10.0_p1-r11, 3.21 9.9_p2-r1, 3.20 9.7_p1-r6, 3.19 9.6_p1-r3, 3.18 9.3_p2-r4, 3.17 9.1_p1-r7 sowie 3.16 9.0_p1-r6.

Die stabilen Veröffentlichungen 3.21.10, 3.22.8, 3.23.8 und 3.24.4 enthalten die Bereinigung. Für die Version Alpine Linux 3.21 endete der offizielle Support am 01.11.2026. Betreiber wurden dazu aufgerufen, Aktualisierungen über die Paketverwaltung einzuspielen und den Serverprozess neu zu starten.

Weitere Distributionen und Schutzmaßnahmen

Neben Alpine Linux sind weitere musl-basierte Distributionen potenziell anfällig, darunter OpenWrt, Buildroot, Yocto und Void Linux, wenngleich die erforderlichen Rahmenbedingungen dort teilweise nicht standardmäßig aktiv sind.

OpenWrt nutzt standardmäßig Dropbear und ist daher nur dann betroffen, wenn OpenSSH nachträglich installiert wurde. Nicht betroffen sind Systeme, die auf der GNU C Library (glibc) basieren, wie etwa Debian, Ubuntu oder Fedora, ebenso wenig Nicht-Linux-Systeme oder Linux-Installationen mit aktiviertem PAM.

Zur forensischen Prüfung empfiehlt sich eine Kontrolle der Systemprotokolle auf unerlaubte Anmeldungen, beispielsweise über die Durchsuchung der Protokolldatei /var/log/messages nach erfolgreichen Passwort-Logins.