CVE-2026-123158 permite eludir la autenticación por contraseña de OpenSSH en determinadas instalaciones Linux con musl y sin PAM. Si administras un VPS Alpine con SSH, revisa el paquete y su configuración hoy. La respuesta práctica es instalar la revisión corregida de tu rama y reiniciar sshd.
Verificado el 5 de noviembre de 2026. El registro oficial de CVE ya identifica el fallo y le asigna CVSS 3.1 de 8.1, severidad alta. El aviso inicial de Alpine decía que aún no había identificador; se asignó después. OpenSSH describe su versión 10.6p2 como una actualización con una solución de seguridad crítica.
Qué pasa realmente y por qué no significa «root en cualquier Alpine»
El problema está en cómo interactúan la verificación de contraseñas de sshd y la biblioteca musl. Al procesar una contraseña excesivamente larga, un resultado de error puede confundirse con el valor almacenado de una cuenta. El cambio oficial de OpenSSH añade comprobaciones para evitar aceptar ese resultado como una autenticación válida. No es necesario conocer la contraseña de la cuenta afectada.
La demostración viral omite condiciones. Según Alpine, deben coincidir:
sshdsin PAM activo yPasswordAuthentication yes.- Una cuenta objetivo con
*en el campo de contraseña. - Otra cuenta local con hash
$5$o$6$.
Root directo también depende de la política SSH. PermitRootLogin prohibit-password, el valor predeterminado de OpenSSH, impide autenticación por contraseña para root. Una cuenta diferente con privilegios administrativos sigue mereciendo atención. Consulta las reglas efectivas, incluidos los bloques Match, en vez de asumir que todas las cuentas usan la misma configuración. Referencia de configuración de OpenSSH.
La alerta de Alpine destaca las imágenes tiny-cloud: ciertas imágenes antiguas pueden quedar expuestas al añadir contraseñas locales. Un contenedor que no ejecuta sshd no presenta esta vía. Alcance de la alerta.
Versiones corregidas: no necesitas OpenSSH 10.6p2 en todas las ramas
OpenSSH Portable 10.6p2 incorpora la solución upstream. Alpine la ha trasladado a paquetes anteriores mediante backports. Compara la versión completa del paquete, incluido el sufijo -r, con tu rama:
| Rama de Alpine | Primera revisión corregida de openssh |
|---|---|
| edge | 10.6_p2-r0 |
| 3.24 | 10.3_p1-r2 |
| 3.23 | 10.2_p1-r1 |
| 3.22 | 10.0_p1-r11 |
| 3.21 | 9.9_p2-r1 |
| 3.20 | 9.7_p1-r6 |
| 3.19 | 9.6_p1-r3 |
| 3.18 | 9.3_p2-r4 |
| 3.17 | 9.1_p1-r7 |
| 3.16 | 9.0_p1-r6 |
Tabla del aviso oficial de Alpine. Las nuevas imágenes 3.21.10, 3.22.8, 3.23.8 y 3.24.4 incluyen la corrección. Una imagen nueva no actualiza por sí sola una instancia que ya está funcionando. Los parches excepcionales para ramas antiguas tampoco sustituyen un plan de migración a una rama soportada.
Cómo corregirlo en tu VPS Alpine sin perder el acceso
1. Prepara una vía de recuperación
Antes de tocar SSH, conserva la sesión actual, comprueba que puedes abrir otra sesión con tu clave y confirma acceso a la consola del proveedor. Guarda una copia de la configuración y una copia recuperable de los datos. Realiza los cambios en una ventana de mantenimiento, especialmente si vas a actualizar más paquetes.
Los siguientes comandos están pensados para una sesión administrativa root en Alpine con OpenRC. Si tu servicio usa otro binario, supervisor o archivo de configuración, adapta el procedimiento. No los ejecutes sobre un servidor de terceros.
2. Identifica la rama, el paquete y la configuración efectiva
cat /etc/alpine-release
apk info -v | grep '^openssh'
/usr/sbin/sshd -T | grep -E '^(passwordauthentication|permitrootlogin|usepam) '
sshd -T muestra la configuración calculada del servidor; ssh -V identifica el cliente y no basta para verificar el servicio. La ausencia de una línea usepam no demuestra protección. Si hay reglas Match, evalúa también cada contexto relevante con -T -C y los valores reales de usuario y conexión. Opciones de diagnóstico de sshd.
No publiques el contenido de /etc/shadow, claves ni archivos de configuración completos en tickets o foros. Para el inventario basta registrar rama, revisión instalada, método de autenticación y responsable.
3. Actualiza desde los repositorios de tu rama
apk update
apk policy openssh-server
apk upgrade
Administra tu proyecto con un VPS de TERAMONT
Elige Linux, acceso root y almacenamiento NVMe para tu aplicación. Incluye copias diarias con 14 días de retención; mantén SSH y el sistema actualizados.
Ver planes VPSapk update renueva el índice y apk upgrade actualiza los paquetes instalados, no solo SSH. Revisa previamente el origen y alcance de la transacción. No mezcles edge con una rama estable para obtener un número de versión mayor. Documentación de APK.
Comprueba después que el servidor instalado alcanza la revisión corregida de su rama. Si un paquete retenido o un repositorio desactualizado impide recibirla, no declares resuelto el caso: aplica la mitigación de abajo y revisa el canal de actualización. El anuncio de seguridad propone apk upgrade -U -a; la opción -a puede reemplazar paquetes locales por versiones del repositorio y requiere revisar su impacto.
4. Valida y reinicia el servidor SSH
/usr/sbin/sshd -t && rc-service sshd restart
rc-service sshd status
apk info -v | grep '^openssh'
Instalar el paquete sin reiniciar no sustituye el proceso que ya estaba ejecutándose. Alpine pide expresamente ese reinicio. Instrucción oficial de actualización.
Si la validación falla, corrige la configuración antes de continuar. Abre una conexión nueva, verifica el método de acceso esperado y solo entonces cierra la sesión de mantenimiento. Un estado started confirma actividad, no la revisión del binario: conserva también la evidencia del paquete actualizado.
Mitigación temporal: deshabilitar contraseñas
Si todavía no puedes instalar el parche, establece esta directiva en la configuración efectiva:
PasswordAuthentication no
Prueba primero tu acceso con clave. Revisa Include y Match: añadir una línea al final no garantiza que sea la elegida. OpenSSH normalmente usa el primer valor obtenido de cada opción. Reglas de sshd_config.
Valida con sshd -t, reinicia y comprueba con sshd -T que el resultado sea passwordauthentication no, también en los contextos que tengan reglas específicas. No actives PAM a ciegas como reparación: necesita un paquete y una configuración adecuados.
Contenedores y comprobación posterior
Si tu imagen sí incluye un servidor SSH, actualiza su construcción y sustituye los contenedores activos. Reiniciar una imagen antigua no descarga paquetes nuevos. Revisa también plantillas, imágenes de CI y réplicas para que el siguiente despliegue no reintroduzca la versión anterior. Recomendaciones de Docker para reconstruir imágenes.
Investiga accesos por contraseña inesperados a cuentas que debían usar claves. Preserva registros y revisa usuarios y claves autorizadas ante indicios de intrusión. Un parche no revierte accesos anteriores; si hay sospecha, separa la actualización de la respuesta al incidente. Esta guía no acredita que un servidor concreto esté limpio.
Un VPS con control para mantener tu infraestructura
En VPS Hosting de TERAMONT puedes elegir Linux, administrar el sistema con acceso root y disponer de almacenamiento NVMe y copias diarias con 14 días de retención. Son recursos útiles para preparar y recuperar cambios, siempre verificando la restauración y la compatibilidad de tu aplicación.
Elige los recursos que necesita tu proyecto y define quién mantiene el sistema, SSH y las aplicaciones. La protección DDoS de red no corrige este fallo de autenticación: la revisión del paquete y la configuración siguen siendo necesarias.
