Una nueva vulnerabilidad de seguridad ha sido detectada en ciertos sistemas Linux, permitiendo el acceso no autorizado a cuentas que deberían estar protegidas por contraseña. Apodada *sshole y registrada como CVE-2026-123158, esta falla afecta configuraciones de Alpine Linux que combinan OpenSSH con musl, una biblioteca crítica del sistema, y que no emplean el módulo PAM para la gestión de autenticaciones. La situación se complica ya que este problema podría extenderse a otras plataformas con configuraciones similares.
El investigador Özgün Kültekin, de Wakefield, identificó el fallo, que permite a los atacantes acceder a cuentas al no validar correctamente las contraseñas introducidas. A pesar de que el sistema debería rechazar las contraseñas, en ciertas condiciones, OpenSSH recurre a información de otra cuenta, omitiendo la verificación necesaria. Al tratarse de contraseñas con un tamaño específico, la respuesta que indica un error provoca que el sistema las acepte erróneamente.
Este error tiene sus raíces en cambios anteriores realizados en musl y OpenSSH, orientados a mejorar la seguridad en diferentes contextos, que, al interactuar, generaron este nuevo riesgo. Para que un sistema sea vulnerable, deben cumplirse un conjunto de condiciones, como operar sin PAM y tener cuentas locales activas con contraseñas específicas.
Las repercusiones podrían ser críticas, especialmente si la cuenta comprometida tiene permisos elevados, como ocurre en algunas imágenes oficiales de Alpine Linux utilizadas en la nube. En este contexto, los atacantes, de observar la vulnerabilidad, podrían ejecutar comandos de administrador sin requerir una contraseña. Se han registrado intentos de explotación de esta vulnerabilidad, lo que subraya su gravedad.
Ante la urgencia del problema, OpenSSH lanzó una обновление el 5 de noviembre y Alpine Linux también ha distribuido parches. No obstante, es crucial que los usuarios reinicien los servicios de SSH para aplicar las actualizaciones. En caso de imposibilidad para actualizar, se recomienda desactivar temporalmente el uso de contraseñas y confirmar el acceso mediante la autenticación con clave para mitigar riesgos.