Sommaire
OpenSSH a publié en urgence la version 10.6p2 ce jeudi 5 novembre 2026 pour corriger un contournement d’authentification critique (CVE-2026-123158, notée 8,1/10), surnommé « sshhole ». Sur les systèmes Linux construits avec la bibliothèque musl — Alpine Linux en tête — et dont le serveur SSH ne passe pas par PAM, un mot de passe de 257 à 1 024 caractères est accepté pour les comptes censés ne jamais accepter de mot de passe : root sur Alpine 3.16 et plus, les utilisateurs en clé seule, les comptes LDAP, ou l’utilisateur « alpine » par défaut sur les images AWS et Azure.
La plupart des hébergements mutualisés classiques ne sont pas concernés : Ubuntu, Debian ou AlmaLinux avec PAM ne sont pas touchés, et c’est aussi le cas de cPanel, Plesk ou DirectAdmin. Le risque vise surtout les serveurs et conteneurs Alpine, les bastions SSH, les conteneurs SFTP et de sauvegarde, et les hébergeurs en conteneurs (Docker). Si vous gérez un serveur, mettez à jour OpenSSH en 10.6p2 — ou le paquet corrigé de votre distribution, Alpine ayant rétroporté le correctif jusqu’à la 3.16 — et reconstruisez vos images de conteneurs. Impossible de patcher tout de suite ? Coupez l’authentification par mot de passe (PasswordAuthentication no) et redémarrez sshd. Aucune exploitation n’a été signalée pour l’instant, mais la faille est triviale à automatiser.
Lento dit : Un mot de passe de 300 caractères qui ouvre un compte sans mot de passe : c’est le genre de faille qui fait passer les « bonnes pratiques » pour de la décoration. Vérifiez ce que votre hébergeur fait tourner — et si personne ne sait répondre, c’est déjà une réponse.
