OpenSSH heeft spoedpatches uitgerold voor een kwetsbaarheid die aanvallers kan helpen om in te loggen zonder het juiste wachtwoord te kennen. De fout, die wordt aangeduid als SSHole en is gelabeld als CVE-2026-123158, valt in de categorie dreiging en patchvertraging: wie te lang wacht, vergroot de kans op snelle herontdekking en geautomatiseerde pogingen door aanvallers.
De impact is bovendien niet theoretisch of afhankelijk van ingewikkelde ketens. In bepaalde configuraties kan een aanvaller gebruikmaken van lange wachtwoordstrings om toegang te krijgen tot accounts waarvan het wachtwoordveld speciaal is ingericht.
Wat is SSHole (CVE-2026-123158)?
SSHole is een authentication bypass in de OpenSSH-server (sshd). De kwetsbaarheid maakt het mogelijk om in te loggen met een wachtwoord dat qua lengte binnen een specifieke bandbreedte valt, zelfs als de aanvaller niet het correcte wachtwoord heeft.
De kern zit in een misinterpretatie: of een string als wachtwoordhash wordt gezien, kan door de fout verkeerd uitpakken. Daardoor kan toegang ontstaan wanneer het wachtwoordveld van een account bepaalde waarden bevat en de installatie aan specifieke voorwaarden voldoet.
Wie loopt risico: de combinatie met musl en PAM
De fout heeft invloed op Linux-distributies waar OpenSSH gebruikmaakt van musl libc en waar PAM is uitgeschakeld. Met andere woorden: het gaat niet om “alle OpenSSH-installaties”, maar om een specifieke set omgevingen.
Volgens de melding kan het misbruik werken op distributies en varianten waaronder onder meer Alpine Linux, OpenWrt, Buildroot en Yocto (in de context van musl en PAM-uit).
Waarom dit vooral hard binnenkomt bij dreiging en patchvertraging
OpenSSH ontwikkelaar Damien Miller benadrukte dat de release zo snel mogelijk is gemaakt. De reden: er zijn waarnemingen dat AI-agenten bugs soms binnen uren opnieuw vinden. Dat maakt lange embargo- of wachttijden voor aanvallers lucratief en voor verdedigers juist riskant.
In dezelfde geest waarschuwen meerdere partijen dat er rekening moet worden gehouden met snelle scanning zodra details openbaar zijn. Dat sluit direct aan op het thema dreiging en patchvertraging: zelfs als er (nog) geen exploitreports zijn, kunnen geautomatiseerde pogingen al snel beginnen.
Het “lange wachtwoord” mechanisme in het kort
De kwetsbaarheid maakt gebruik van een wachtwoordstring waarvan de lengte ligt tussen 257 en 1.024 tekens. In die range kan de aanvaller in bepaalde gevallen toegang krijgen.
Belangrijk is ook de rol van accounts die normaal gesproken geen wachtwoord zouden accepteren, maar in de getroffen omgevingen wél worden toegestaan. Denk aan situaties waarin root-achtige accounts anders zijn geconfigureerd dan je op basis van “key-only” zou verwachten.
Alpine Linux: wat je in je omgeving moet checken
Alpine Linux riep gebruikers op om de OpenSSH patches direct toe te passen en vervolgens sshd opnieuw te starten. Als alternatief kan de mitigatie zijn om wachtwoordlogins te blokkeren en daarna ook sshd opnieuw te starten.
De waarschuwende details draaien om de aanwezigheid van accounts met een speciaal wachtwoordveld: * (sterretje). In combinatie met de juiste hash-waarden bij andere lokale accounts kan een aanvaller een sessie opzetten zonder het juiste wachtwoord te kennen.
Verder specificeert Alpine Linux dat de wachtwoordhashen een $5$ of $6$ patroon moeten bevatten. Die markeringen corresponderen met SHA-256 of SHA-512 crypt.
“Met één verbinding” — waarom het zwaar weegt
Een extra zorgpunt uit de waarschuwingen is de praktische uitvoerbaarheid: als een aanvaller je SSH-poort kan bereiken, dan kan hij in de beschrijving met één poging inloggen zonder te hoeven terugkomen met meerdere retries. Dat maakt de drempel voor massaal proberen lager dan bij veel andere kwetsbaarheden.
Over welke versies gaat het?
Alpine Linux meldt dat getroffen deployments voorkomen in de releases die door hen zijn nagekeken. In het overzicht vallen onder andere 3.21 t/m 3.24 en edge, plus oudere releases die niet langer standaard updatemomenten krijgen (3.16 t/m 3.20).
Omdat het om een specifieke configuratie gaat (musl + PAM uit + wachtwoordauth en de genoemde account-handleidingen), is “wel/geen risico” niet alleen afhankelijk van versie, maar ook van inrichting.
Wat je nu moet doen (praktische checklist)
Als je omgeving binnen de voorwaarden valt, is de aanpak nuchter: patch nu en beperk waar mogelijk tijdelijk.
- Werk OpenSSH bij naar de versie waarin de fixes zijn opgenomen. OpenSSH heeft de oplossing geleverd in OpenSSH 10.6p2.
- Herstart sshd nadat je de update hebt doorgevoerd. Zorg dat je niet alleen bestanden vervangt, maar ook de actieve daemon vernieuwt.
- Schakel wachtwoordauth uit als noodmaatregel. Gebruik waar mogelijk sleutels (key-based authentication) in plaats van wachtwoorden.
- Controleer je accounts op de genoemde aanwijzingen (bijvoorbeeld accounts met een * wachtwoordveld) en de aanwezigheid van lokale accounts met $5$ of $6$ hashes.
Zie je beperkingen om direct te patchen? Dan is het blokkeren van wachtwoordlogins een logische tussenstap, maar uiteindelijk blijft updaten het doel.
Waarom “geen meldingen” toch niet geruststelt
In de updates wordt aangegeven dat er nog geen concrete exploitrapports waren gezien op het moment van publicatie. Toch is dat geen vrijbrief: de details zijn openbaar en de aanval is in de beschrijving relatief eenvoudig te automatiseren.
Er wordt zelfs gewezen op het feit dat er miljoenen systemen met SSH open zouden kunnen staan (met een deel dat door scanners niet volledig wordt gezien). Of jouw systeem ertussen zit, is de vraag—en die vraag wordt snel door bots beantwoord.
Vergelijkbare aanpak: patchsnelheid en exposure management
Deze kwetsbaarheid past in een bredere trend waarbij snelle verandering en herontdekking de reden zijn om patchprocessen strak te organiseren. Als je wilt bepalen welke systemen het eerst aandacht nodig hebben, helpt het om je “exposure” te kennen.
We hebben eerder ook gekeken naar manieren om blootstelling te toetsen, bijvoorbeeld met tests om je blootstelling te controleren. Combineer dat met een harde insteek op patch discipline, zodat dreiging en patchvertraging niet hetzelfde wordt als een verhoogd aanvalsrendement.
Verwante context: aanvallen rond patchvertraging
Ook eerder kwamen incidenten en waarschuwingen voorbij waarin aanvallers profiteren van tijdsvensters. Ter illustratie: in berichtgeving over dreiging en patchvertraging in 2026: risico van proxy-exits werd duidelijk hoe wachttijd een verdedigingsgat kan worden.
De les is consistent: behandel “nog geen exploit in het wild” niet als gelijk aan “we zijn veilig”. Zodra details publiek zijn, verschuift de kans op scanning en geautomatiseerde pogingen snel.
Conclusie: patch nu, beperk direct en check je configuratie
SSHole (CVE-2026-123158) toont hoe een specifieke configuratie—musl met PAM uit, plus bepaalde account- en wachtwoordinstellingen—kan leiden tot een authentication bypass. De waarde van deze kwetsbaarheid zit in het feit dat aanvallen relatief eenvoudig te automatiseren lijken en dat dreiging en patchvertraging direct samenhangt met het tempo van scanning.
Werk OpenSSH bij naar OpenSSH 10.6p2, start sshd opnieuw en overweeg als tussenstap wachtwoordlogins uit te schakelen. Daarmee verklein je snel het risico, ook wanneer er nog geen meldingen van misbruik zijn gezien.
Bron: https://www.securityweek.com/openssh-rushes-patches-for-sshole-authentication-bypass/
