OpenSSH「*sshole」で侵入成功を観測　攻撃コード公開済み　JPCERT/CCが国内に警告

　JPCERT/CCは11月9日、OpenSSHの認証回避の脆弱性「CVE-2026-123158」（通称「*sshole」）について、すでに悪用の試行と成功が観測されているとして注意喚起を出した。国内でもAlpine Linuxベースの商用製品が使われていることを確認したといい、速やかな対策の適用と侵害の有無の調査を求めている。

　この脆弱性は、標準Cライブラリにmusl libcを使い、ユーザー認証の仕組みであるPAMを使わない構成のOpenSSHで、認証処理に誤りが生じるものだ。悪用されると、認証されていない攻撃者が遠隔から、パスワードログインを無効にする値「*」が設定されたアカウントへ、正規のパスワードなしで不正にログインできる可能性がある。OpenSSHは11月5日に修正版「10.6p2」を公開しており、ビジネス＋ITも緊急修正として伝えた。

　JPCERT/CCによると、概念実証コードはすでに公開されている。セキュリティ企業のグレイノイズは、11月5日以降にこの脆弱性を悪用しようとする攻撃を観測し、11月7日には同社の観測用環境で、侵入の成功、コマンド実行、C2エージェントの設置を確認したと報告した。一方、組織における侵害事例は、現時点で確認できていないという。

　影響を受け得るのは、10.6p2より前のOpenSSHで、次の条件をすべて満たす環境だ。musl libcを使うLinuxであること、PAMによる認証が無効であること、パスワード認証が有効であること、パスワードハッシュ欄が「*」のアカウントがあること、別のローカルアカウントに「$5$」または「$6$」形式のパスワードハッシュが設定されていること。

　対策は、10.6p2への更新だ。ただし、旧版に修正を移植しているディストリビューションもあり、開発元の情報の確認が必要だ。Alpine Linuxは各リリース向けに修正済みパッケージを公開した。更新後はsshdの再起動も必要だ。パッケージの更新だけでは動作中のデーモンが置き換わらないという。

　侵害の有無は、SSHの認証ログ（/var/log/messagesなど）に、本来パスワードでログインできないアカウントへの「Accepted password for」の記録がないかで確認する。doasの使用履歴、不審なユーザーの追加やSSH公開鍵の変更、不審なファイルや外部通信も調べる。