✨︎ Resumen (TL;DR):
- Previdian detectó intentos de aprovechar CVE-2026-123158 y afirmó que uno obtuvo acceso de administrador.
- OpenSSH 10.6p2 y los paquetes corregidos de Alpine ya incluyen el cambio.
- El acceso ocurrió en un honeypot con Alpine Linux, y el reporte no confirma intrusiones en servidores de producción.
Previdian reportó intentos de aprovechar la vulnerabilidad de autenticación CVE-2026-123158 de OpenSSH y afirmó que uno de ellos consiguió acceso de administrador a un honeypot con Alpine Linux. El equipo estaba preparado para observar ataques, así que el hallazgo no confirma por sí solo una intrusión en servidores de producción.
Help Net Security divulgó el caso el 6 de noviembre. Ryan Dewhurst, fundador de Previdian, dijo al medio que el primer intento observado llegó menos de nueve horas después de la publicación de la vulnerabilidad.
Dewhurst también afirmó que uno de los intentos consiguió privilegios de administrador en un señuelo de Previdian que ejecutaba Alpine Linux y OpenSSH.
Un honeypot es un sistema dispuesto para atraer y registrar actividad sospechosa. En este caso, la actividad observada incluyó comandos para obtener información sobre el equipo al que habían accedido.
El reporte solo describe lo ocurrido en la infraestructura de observación de Previdian. No establece cuántas máquinas de otras organizaciones son vulnerables ni cuántas podrían haber sido comprometidas. La confirmación del acceso proviene de la declaración de la firma a Help Net Security.
La configuración del servidor determina la exposición
La vulnerabilidad puede permitir acceso remoto a ciertas cuentas sin una contraseña utilizable cuando coinciden varias condiciones. Afecta al servidor OpenSSH en determinadas instalaciones de Linux que usan la biblioteca musl y no gestionan la comprobación de contraseñas mediante PAM.
Alpine utiliza esa combinación en su paquete habitual del servidor OpenSSH. Para que el equipo quede expuesto, deben coincidir estas condiciones:
- La autenticación SSH mediante contraseña está habilitada.
- Existe una cuenta cuyo campo de contraseña está configurado de la manera descrita en el aviso de Alpine.
- Hay al menos otra cuenta local con una contraseña almacenada en uno de los formatos señalados por el proyecto.
- El servidor está accesible para quien intenta conectarse.
Una cuenta configurada para entrar con una clave SSH también puede quedar expuesta si el servidor todavía acepta contraseñas y se cumplen los demás requisitos. La falla no significa que se puedan adivinar o eludir las contraseñas válidas de todas las cuentas del sistema.
Alpine aclara que esta vía no afecta a los contenedores que no ejecutan el servidor SSH. Tampoco encajan en la configuración descrita los sistemas que desactivan la autenticación por contraseña o usan PAM para esas comprobaciones.
OpenSSH y Alpine ya publicaron correcciones
OpenSSH y Alpine publicaron correcciones el 5 de noviembre. OpenSSH incorporó el cambio en la versión 10.6p2.
Alpine publicó paquetes corregidos para sus distintas ramas, incluidos algunos con números de versión anteriores a 10.6p2 que ya contienen la corrección. La comparación debe hacerse con la versión corregida que corresponda a cada rama de la distribución.
Instalar el paquete no sustituye automáticamente al proceso SSH que ya está ejecutándose. Alpine recomienda actualizar el paquete y reiniciar el servicio.
Si la actualización no puede aplicarse de inmediato, el proyecto propone desactivar el acceso por contraseña y reiniciar el servicio. Antes de cambiar la configuración, hay que comprobar que el acceso por clave funciona y mantener abierta la sesión actual hasta probar una nueva conexión.
Alpine también pide revisar los registros de autenticación y la actividad de las cuentas y los privilegios en los equipos expuestos.
Si no es posible descartar un acceso indebido, recomienda tratar la máquina como comprometida. Corregir la falla cierra esa vía de entrada, pero no deshace una intrusión anterior.
