OpenSSH ข้ามการยืนยันตัวตนบน Linux CVE-2026-123158
ผู้ดูแลระบบที่เปิด SSH บน Linux ซึ่งใช้ musl libc และไม่ใช้ PAM ต้องตรวจเงื่อนไขแล้วอัปเดตทันที เพราะมีการโจมตีจริงแล้ว
สรุปใน 1 นาที
- อาการ/ปัญหา
- ผู้โจมตีที่เข้าถึง SSH อาจล็อกอินเข้าบัญชีบางแบบได้โดยไม่รู้รหัสผ่าน
- ใครควรอ่าน
- ผู้ดูแลระบบที่รัน sshd บน Linux ซึ่งใช้ musl libc โดยไม่ใช้ PAM และเปิดรับรหัสผ่าน
- ทางแก้แบบสั้น
- อัปเดตเป็น OpenSSH 10.6p2 หรือแพ็กเกจที่ดิสโทรแก้แล้วและรีสตาร์ต sshd หากยังทำไม่ได้ให้ปิดการล็อกอินด้วยรหัสผ่านตามคำแนะนำผู้พัฒนา
พอดีอ่านระเบียน CVE-2026-123158 ของ OpenSSH ที่อัปเดตวันที่ 9 พฤศจิกายน 2026 พบช่องโหว่ข้ามการยืนยันตัวตนด้วยรหัสผ่านบน Linux ที่ใช้ musl libc โดยไม่ใช้ PAM ข้อมูล CISA-ADP ในระเบียนระบุว่ามีการโจมตีจริงแล้ว ผู้ดูแลต้องตรวจทั้งแพ็กเกจ ค่าตั้ง และเงื่อนไขบัญชี เพราะไม่ได้กระทบ OpenSSH ทุกเครื่อง (ระเบียน CVE)
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ถ้าเปิด SSH บน Linux ที่ใช้ musl libc โดยไม่ใช้ PAM และรับรหัสผ่าน ให้ตรวจเงื่อนไขบัญชีแล้วอัปเดตพร้อมรีสตาร์ตบริการทันที
เกิดอะไรขึ้น
ปัญหาอยู่ในขั้นตอนตรวจรหัสผ่านของ sshd เมื่อใช้ musl libc โดยไม่ผ่าน PAM ความผิดพลาดในการตีความค่าแฮชรหัสผ่านทำให้การล็อกอินที่ควรถูกปฏิเสธกลับผ่านได้ ผู้โจมตีที่เข้าถึงบริการ SSH อาจเข้าบัญชีบางแบบได้โดยไม่รู้รหัสผ่าน ระเบียน CVE ให้คะแนน CVSS 3.1 ที่ 8.1 ระดับสูง
ทีม OpenSSH ระบุว่าต้นเหตุอยู่นอก sshd แต่ใช้โจมตีผ่าน sshd ได้ เลยเพิ่มการป้องกันในรุ่น 10.6p2 ซึ่งออกวันที่ 5 พฤศจิกายน 2026 ตาม บันทึกการออกรุ่น แพตช์เพิ่มการตรวจความยาวขั้นต่ำของค่าแฮชก่อนยอมรับผลการตรวจรหัสผ่าน (การแก้โค้ด)
ใครโดนและรุ่นที่แก้
CVE ระบุ OpenSSH ก่อน 10.6p2 บน Linux ที่ใช้ musl libc โดยไม่ใช้ PAM สำหรับ Alpine ต้องเปิด PasswordAuthentication yes และมีบัญชีที่ช่องรหัสผ่านเป็น * พร้อมกับมีบัญชีอื่นอย่างน้อยหนึ่งบัญชีที่เก็บแฮชแบบ $5$ หรือ $6$ จนเข้าเงื่อนไขโจมตี ระบบที่ใช้ openssh-server-pam กับ UsePAM yes ไม่ได้รับผลกระทบตาม ประกาศ Alpine
| รุ่น / แพ็กเกจ | รุ่นที่แก้แล้ว |
|---|---|
| OpenSSH ต้นทาง | 10.6p2 |
| Alpine edge / openssh | 10.6_p2-r0 |
| Alpine 3.24 / openssh | 10.3_p1-r2 |
| Alpine 3.23 / openssh | 10.2_p1-r1 |
| Alpine 3.22 / openssh | 10.0_p1-r11 |
| Alpine 3.21 / openssh | 9.9_p2-r1 |
| Alpine 3.20 / openssh | 9.7_p1-r6 |
| Alpine 3.19 / openssh | 9.6_p1-r3 |
| Alpine 3.18 / openssh | 9.3_p2-r4 |
| Alpine 3.17 / openssh | 9.1_p1-r7 |
| Alpine 3.16 / openssh | 9.0_p1-r6 |
Alpine นำแพตช์กลับมาใส่ในรุ่นเก่าด้วย ให้เทียบเลขรุ่นเต็มตามสาขาในตาราง อย่าดูเพียงว่าเลขรุ่นต่ำกว่า 10.6p2 หรือไม่
ช่องโหว่นี้ยังไม่อยู่ใน KEV ฉบับ 6 พฤศจิกายน 2026 จาก mirror ทางการของ CISA แต่ ข้อมูล CISA-ADP ในระเบียน CVE วันที่ 9 พฤศจิกายน 2026 ระบุ Exploitation: active และแนบลิงก์ KEV ข้อมูลที่เปิดได้เป็นคนละวันที่และแสดงรายการไม่ตรงกัน เลยไม่ระบุวันเพิ่มเข้า KEV หรือกำหนดแก้ของ CISA ในบทความนี้
ต้องทำอะไร
อัปเดตตามสาขาที่ใช้งาน สำหรับ Alpine ให้รันคำสั่งต่อไปนี้ด้วยสิทธิ์ผู้ดูแลตามประกาศ การอัปเดตแพ็กเกจไม่แทนที่ daemon ที่กำลังทำงาน ต้องรีสตาร์ต sshd ด้วย
apk upgrade -U -a
rc-service sshd restart
Alpine แนะนำให้ตั้ง PasswordAuthentication no แล้วรีสตาร์ต sshd โดยต้องทดสอบว่าล็อกอินด้วยกุญแจได้และคงเซสชันเดิมไว้จนทดสอบการเชื่อมต่อใหม่สำเร็จ
ส่วนตัวผมมองว่าเครื่องที่เข้าเงื่อนไขควรแพตช์ทันที เพราะ CISA-ADP ระบุว่ามีการโจมตีจริงแล้ว ที่มา: CVE-2026-123158 และ ประกาศ Alpine เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย