OpenSSH ข้ามการยืนยันตัวตนบน Linux CVE-2026-123158
ผู้ดูแลระบบที่เปิด SSH บน Linux ซึ่งใช้ musl libc และไม่ใช้ PAM ต้องตรวจเงื่อนไขแล้วอัปเดตทันที เพราะมีการโจมตีจริงแล้ว
1-minute summary
- Symptom / problem
- ผู้โจมตีที่เข้าถึง SSH อาจล็อกอินเข้าบัญชีบางแบบได้โดยไม่รู้รหัสผ่าน
- Who should read
- ผู้ดูแลระบบที่รัน sshd บน Linux ซึ่งใช้ musl libc โดยไม่ใช้ PAM และเปิดรับรหัสผ่าน
- Fix in short
- อัปเดตเป็น OpenSSH 10.6p2 หรือแพ็กเกจที่ดิสโทรแก้แล้วและรีสตาร์ต sshd หากยังทำไม่ได้ให้ปิดการล็อกอินด้วยรหัสผ่านตามคำแนะนำผู้พัฒนา
พอดีอ่านระเบียน CVE-2026-123158 ของ OpenSSH ที่อัปเดตวันที่ 9 พฤศจิกายน 2026 พบช่องโหว่ข้ามการยืนยันตัวตนด้วยรหัสผ่านบน Linux ที่ใช้ musl libc โดยไม่ใช้ PAM ข้อมูล CISA-ADP ในระเบียนระบุว่ามีการโจมตีจริงแล้ว ผู้ดูแลต้องตรวจทั้งแพ็กเกจ ค่าตั้ง และเงื่อนไขบัญชี เพราะไม่ได้กระทบ OpenSSH ทุกเครื่อง (ระเบียน CVE)
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ถ้าเปิด SSH บน Linux ที่ใช้ musl libc โดยไม่ใช้ PAM และรับรหัสผ่าน ให้ตรวจเงื่อนไขบัญชีแล้วอัปเดตพร้อมรีสตาร์ตบริการทันที
เกิดอะไรขึ้น
ปัญหาอยู่ในขั้นตอนตรวจรหัสผ่านของ sshd เมื่อใช้ musl libc โดยไม่ผ่าน PAM ความผิดพลาดในการตีความค่าแฮชรหัสผ่านทำให้การล็อกอินที่ควรถูกปฏิเสธกลับผ่านได้ ผู้โจมตีที่เข้าถึงบริการ SSH อาจเข้าบัญชีบางแบบได้โดยไม่รู้รหัสผ่าน ระเบียน CVE ให้คะแนน CVSS 3.1 ที่ 8.1 ระดับสูง
ทีม OpenSSH ระบุว่าต้นเหตุอยู่นอก sshd แต่ใช้โจมตีผ่าน sshd ได้ เลยเพิ่มการป้องกันในรุ่น 10.6p2 ซึ่งออกวันที่ 5 พฤศจิกายน 2026 ตาม บันทึกการออกรุ่น แพตช์เพิ่มการตรวจความยาวขั้นต่ำของค่าแฮชก่อนยอมรับผลการตรวจรหัสผ่าน (การแก้โค้ด)
ใครโดนและรุ่นที่แก้
CVE ระบุ OpenSSH ก่อน 10.6p2 บน Linux ที่ใช้ musl libc โดยไม่ใช้ PAM สำหรับ Alpine ต้องเปิด PasswordAuthentication yes และมีบัญชีที่ช่องรหัสผ่านเป็น * พร้อมกับมีบัญชีอื่นอย่างน้อยหนึ่งบัญชีที่เก็บแฮชแบบ $5$ หรือ $6$ จนเข้าเงื่อนไขโจมตี ระบบที่ใช้ openssh-server-pam กับ UsePAM yes ไม่ได้รับผลกระทบตาม ประกาศ Alpine
| รุ่น / แพ็กเกจ | รุ่นที่แก้แล้ว |
|---|---|
| OpenSSH ต้นทาง | 10.6p2 |
| Alpine edge / openssh | 10.6_p2-r0 |
| Alpine 3.24 / openssh | 10.3_p1-r2 |
| Alpine 3.23 / openssh | 10.2_p1-r1 |
| Alpine 3.22 / openssh | 10.0_p1-r11 |
| Alpine 3.21 / openssh | 9.9_p2-r1 |
| Alpine 3.20 / openssh | 9.7_p1-r6 |
| Alpine 3.19 / openssh | 9.6_p1-r3 |
| Alpine 3.18 / openssh | 9.3_p2-r4 |
| Alpine 3.17 / openssh | 9.1_p1-r7 |
| Alpine 3.16 / openssh | 9.0_p1-r6 |
Alpine นำแพตช์กลับมาใส่ในรุ่นเก่าด้วย ให้เทียบเลขรุ่นเต็มตามสาขาในตาราง อย่าดูเพียงว่าเลขรุ่นต่ำกว่า 10.6p2 หรือไม่
ช่องโหว่นี้ยังไม่อยู่ใน KEV ฉบับ 6 พฤศจิกายน 2026 จาก mirror ทางการของ CISA แต่ ข้อมูล CISA-ADP ในระเบียน CVE วันที่ 9 พฤศจิกายน 2026 ระบุ Exploitation: active และแนบลิงก์ KEV ข้อมูลที่เปิดได้เป็นคนละวันที่และแสดงรายการไม่ตรงกัน เลยไม่ระบุวันเพิ่มเข้า KEV หรือกำหนดแก้ของ CISA ในบทความนี้
ต้องทำอะไร
อัปเดตตามสาขาที่ใช้งาน สำหรับ Alpine ให้รันคำสั่งต่อไปนี้ด้วยสิทธิ์ผู้ดูแลตามประกาศ การอัปเดตแพ็กเกจไม่แทนที่ daemon ที่กำลังทำงาน ต้องรีสตาร์ต sshd ด้วย
apk upgrade -U -a
rc-service sshd restart
Alpine แนะนำให้ตั้ง PasswordAuthentication no แล้วรีสตาร์ต sshd โดยต้องทดสอบว่าล็อกอินด้วยกุญแจได้และคงเซสชันเดิมไว้จนทดสอบการเชื่อมต่อใหม่สำเร็จ
ส่วนตัวผมมองว่าเครื่องที่เข้าเงื่อนไขควรแพตช์ทันที เพราะ CISA-ADP ระบุว่ามีการโจมตีจริงแล้ว ที่มา: CVE-2026-123158 และ ประกาศ Alpine เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first