OpenSSHにおいて、パスワードを設定していないアカウントへ認証なしでログインを許してしまう脆弱性CVE-2026-123158（通称SSHole、CVSS 8.1）が公表されました。公開から9時間足らずでハニーポットへの悪用が確認され、root権限が奪取された事例も報告されています。musl libc環境でPAMを無効化したLinuxサーバーが標的となっており、該当する環境では早急な修正版の適用とログ点検が求められます。
The Hacker News：Hackers Target OpenSSH SSHole Flaw Within Hours of Disclosure, Gain Root on Honeypot
外部に公開されているサーバーやコンテナ環境に今回の脆弱性が残っていないか懸念がある場合は、設定やパッチ適用状況の洗い出しから着手することをおすすめします。
この記事のポイント
影響のあるシステム
- musl Cライブラリ上で動作し、PAM（Pluggable Authentication Modules）が無効化されているLinux環境のOpenSSH（Alpine Linuxのデフォルト設定を含む）
- パスワードハッシュ値としてアスタリスク（*）が設定され、パスワードログインが無効化されているアカウント（root、alpine、公開鍵認証専用ユーザーなど）
推奨される対策
- OpenSSH 10.6p2、または各ディストリビューションから提供される修正済みパッケージへ更新し、sshdを再起動する
- /var/log/messages などのログを確認し、パスワードを持たないアカウントに対して Accepted password for の記録がないか調査する
- 不正ログインが疑われる場合、doasの利用履歴や最近作成されたユーザー、新規ファイル、authorized_keysの変更を調査し、侵入が否定できない場合はシステム侵害として対処する
この記事に出てくる専門用語
- CVE-2026-123158：OpenSSHに存在する認証回避の脆弱性です。通称SSHoleと呼ばれ、特定の条件下でパスワードが無効化されたアカウントへの侵入を許します。
- musl libc：Linux向けに開発された軽量なC言語標準ライブラリです。Alpine Linuxなどの軽量ディストリビューションで標準採用されており、今回の不具合の発生条件に含まれます。
- PAM：Linux等のシステムで認証機能を一元管理する仕組みです。今回の脆弱性は、PAMによる認証を行わない構成のOpenSSHでのみ発生します。
SSHole脆弱性によりパスワードなしのアカウントへ侵入される仕組み
The Hacker Newsによると、セキュリティ研究者のOzgun Kultekin氏によってOpenSSHの重大な認証回避の脆弱性CVE-2026-123158（CVSSスコア8.1）が発見されました。この問題はSSHole（または*sshole）と命名されており、パスワード認証を無効化しているはずのアカウントに対して、攻撃者が資格情報を持たずに遠隔からログインできる状態を作り出します。
不具合の根本的な原因は、2016年にユーザー名列挙の脆弱性CVE-2016-6210へ対処するために導入されたパッチにありました。OpenSSHのパスワード処理において、パスワードのハッシュ計算に失敗した際、システム上でパスワード無効を表す記号と同じアスタリスク（*）が出力されてしまう動作が含まれていました。
攻撃者が257バイトから1,024バイトの長さを持つ任意のパスワードを送信すると、ハッシュ処理の失敗が引き起こされてアスタリスクが生成されます。sshdデーモンがアカウント側に保存されている無効化記号のアスタリスクとこれを照合し、一致したと誤認して認証を通過させてしまいます。私たち診断員の視点でも、意図してパスワードを無効化したアカウントほど狙われるという点で盲点になりやすい構造です。
musl libc環境とAlpine Linuxにおける影響範囲と成立条件
The Hacker Newsによると、この脆弱性はすべてのLinux環境で発生するわけではありません。影響を受けるのは、musl Cライブラリ上でOpenSSHを動かし、かつPAM（Pluggable Authentication Modules）を無効化している環境に限定されます。軽量コンテナで広く使われるAlpine Linuxの標準的なOpenSSHサーバー構成は、この条件に合致します。
一方で、一般的なglibcベースのLinuxディストリビューション、非Linuxシステム、PAM経由でパスワード認証を行う構成、およびDropbearを利用しているシステムは影響を受けません。
攻撃の成功には、対象アカウントのパスワードハッシュ値がアスタリスク（*）に設定されている必要があります。有効なパスワードハッシュが設定されている通常のアカウントでパスワードを回避することはできません。しかし、rootや alpine、公開鍵認証のみを許可した専用ユーザーなどでパスワードが無効化されている場合、侵害の標的となります。
公表後9時間以内に観測された攻撃と日本国内IPからの試行
脅威インテリジェンス企業Previdianの報告によると、脆弱性の公表から9時間も経たないうちに最初の悪用試行が観測されました。Alpine LinuxとOpenSSHを稼働させていたハニーポットにおいて、すでに攻撃者によるroot権限の不正奪取が実証されています。
テレメトリデータでは、日本国内に割り当てられたIPアドレス（89.116.89[.]18）から合計8回の攻撃試行が確認されました。攻撃者は非対話型のSSHセッションを通じて巨大なパスワードを送り込み、認証を回避したうえで id、uname、hostname といった偵察コマンドを実行していました。
Safe Securityは、攻撃者が奪取したアカウントの権限を利用してデプロイ用の資格情報やアプリケーションの秘密情報にアクセスし、社内ネットワークでのラテラルムーブメント（水平移動）やサービス妨害に繋げるリスクを警告しています。脆弱性の公開直後から機械的な探索活動が始まっているため、放置された公開サーバーは迅速に侵入される恐れがあります。
修正版OpenSSHの適用とsshdログの点検手順
今回の脆弱性はOpenSSH 10.6p2で修正されました。musl環境やAlpine Linuxを利用している管理者は、修正済みパッケージへの更新を直ちに実施し、sshdデーモンを再起動して変更を反映させます。
アップデートに加えて、過去の不正ログインの有無を確かめる作業が欠かせません。Alpine Linuxからの案内に従い、/var/log/messages などのシステムログを確認します。パスワード認証を受け付けないはずのアカウントに対して「Accepted password for」というログが出力されていないかを精査してください。私たちなら、まず外部公開されている踏み台やコンテナホストのログから洗い出します。
もし不審なログイン記録が見つかった場合は、doasの実行履歴や最近追加されたユーザー、新規ファイル、authorized_keysファイルの変更有無を調査します。ログインの痕跡が排除できない場合は、該当システムが既に完全に侵害されたものとして初期化や隔離などの対処を進めます。
参考文献・記事一覧
公開サーバーや軽量コンテナ基盤におけるOpenSSHの設定不備や未修正の脆弱性について、客観的なリスク診断を支援します。
投稿者プロフィール
-
サイバーセキュリティ ニュース ボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。
