Des attaquants ont utilisé une faille OpenSSH pour obtenir root sur un leurre Alpine en quelques heures

OpenSSH a publié une mise à jour critique le 5 novembre 2026 pour un contournement de connexion par mot de passe qui peut toucher les systèmes Linux compilés avec la bibliothèque C musl lorsque PAM est désactivé. Alpine Linux, largement utilisé dans les conteneurs et les images infonuagiques, livre son serveur OpenSSH par défaut de cette façon. Le lendemain, une firme de renseignement sur les menaces a dit que des attaquants avaient déjà utilisé la faille pour obtenir l’accès root sur l’un de ses leurres.

Ce qui a été divulgué

Les notes de publication de Portable OpenSSH 10.6p2 (en anglais), parues le 5 novembre, décrivent « une solution de sécurité critique qui touche les systèmes Linux qui utilisent la libc musl et PAM désactivé ». Le projet dit que la version évite un contournement de l’authentification par mot de passe atteignable par sshd dans cette configuration. Il considère que la cause première se trouve hors de sshd, mais qu’elle est exploitable par son intermédiaire. Le bogue a été signalé par Özgün Kültekin de Wakefield.

La faille est suivie sous le nom CVE-2026-123158 et a reçu le surnom « sshole ». Help Net Security a rapporté le 6 novembre (en anglais) qu’elle permet à un attaquant distant de se connecter à des comptes qui n’étaient jamais censés accepter un mot de passe, sur les systèmes musl touchés. Help Net Security cite l’avis de l’équipe Alpine Linux selon lequel un attaquant qui peut atteindre le port SSH peut se connecter sans connaître aucun mot de passe.

Le même article dit que le problème apparaît lorsque OpenSSH est compilé et exécuté sans PAM sur musl. Le paquet openssh-server par défaut d’Alpine est compilé ainsi. Le chercheur a aussi signalé d’autres systèmes musl comme à vérifier, y compris certaines images Docker. Les systèmes qui utilisent glibc (Debian, Ubuntu et Fedora notamment), les configurations qui vérifient les mots de passe par PAM, Dropbear et OpenBSD ont été décrits comme non touchés.

Installer un paquet corrigé ne remplace pas, à lui seul, le processus sshd déjà en cours. Help Net Security, citant SOCRadar, rappelle aux administrateurs que l’ancien binaire continue d’accepter des connexions jusqu’à ce que le service soit redémarré.

Le développeur OpenSSH Damien Miller a exhorté les personnes qui font tourner Linux musl sans PAM à désactiver l’authentification par mot de passe ou à désactiver SSH sur ces systèmes immédiatement, a rapporté Help Net Security.

Ce que les chercheurs ont vu après la divulgation

Le 6 novembre, le fondateur de Previdian, Ryan Dewhurst, a dit à Help Net Security que les capteurs de la firme avaient relevé des attaques contre le bogue, et qu’au moins une tentative avait réussi.

« Notre première tentative observée est arrivée moins de neuf heures après la publication du CVE, et nous avons confirmé un accès root réussi sur un leurre Previdian qui exécutait un vrai Alpine Linux et OpenSSH », a-t-il dit. Les tentatives décrites par Help Net Security venaient d’une seule adresse et ont été captées par un seul capteur. L’attaquant a exécuté des commandes de reconnaissance de base après être entré. Previdian a ajouté le bogue à sa propre liste de vulnérabilités exploitées. À la date de ce reportage, la CISA ne l’avait pas ajouté au catalogue Known Exploited Vulnerabilities.

Du code de démonstration a été publié. Previdian a prévenu que ces copies ne sont pas vérifiées et pourraient elles-mêmes contenir des maliciels. Il n’y a aucune raison de les télécharger pour protéger un serveur.

Ce que ça signifie pour vous

Si vous faites tourner Debian, Ubuntu, Fedora ou un autre système glibc, ou si vous faites déjà passer les connexions SSH par PAM, ce contournement précis n’est pas celui décrit ici. Si vous faites tourner Alpine Linux, de nombreuses images infonuagiques officielles, ou d’autres appareils et conteneurs musl, et que l’authentification par mot de passe est encore activée, vous devriez considérer que cette mise à jour s’applique jusqu’à ce que vous ayez corrigé et redémarré sshd.

Un leurre n’est pas la même chose qu’une vague de serveurs de production brisés. Ce que Previdian montre, c’est que quelqu’un a commencé à essayer la nouvelle faille presque immédiatement, et que la tentative peut fonctionner.

Ce que vous pouvez faire

1. Si vous faites tourner un système musl avec OpenSSH et sans PAM, mettez à jour vers OpenSSH 10.6p2 ou le paquet corrigé de votre distributeur, puis redémarrez sshd. Sur Alpine, des paquets corrigés ont été poussés pour les branches prises en charge le jour même de la correction en amont, selon le reportage cité par Help Net Security.
2. En attendant de pouvoir appliquer le correctif, désactivez l’authentification par mot de passe (PasswordAuthentication no) et redémarrez sshd, ou retirez SSH de l’internet public. C’est la mesure à court terme que le développeur OpenSSH a recommandée.
3. Parcourez les journaux SSH à la recherche de connexions par mot de passe vers des comptes qui ne devraient pas en avoir, comme un utilisateur de déploiement limité aux clés ou l’utilisateur par défaut de certaines images infonuagiques. Help Net Security, citant SOCRadar, suggère aussi d’examiner l’usage récent de privilèges d’administrateur, les nouveaux utilisateurs et les fichiers de clés autorisées. Si vous ne pouvez pas écarter une connexion, traitez la machine comme compromise.
4. Ne téléchargez pas de démonstrations d’exploitation non vérifiées pour « tester » le bogue. Previdian a prévenu que certaines copies publiques peuvent être malveillantes.

Comment Frame peut aider

Il s’agit ici d’une faille dans SSH sur certains systèmes Linux, pas d’une liste publiée de courriels de clients. Les vérifications ci-dessus sont la partie utile. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

Sources

• OpenSSH, notes de publication de Portable OpenSSH 10.6p2 (en anglais), 5 novembre 2026
• Help Net Security, Attackers exploit critical OpenSSH “sshole” flaw within hours of disclosure (en anglais), 6 novembre 2026