Une faille d’OpenSSH, le logiciel qui permet notamment d’administrer un serveur à distance par une connexion SSH, peut laisser entrer un attaquant sans connaître le mot de passe du compte visé. Certaines configurations Linux sont concernées. Le CERT-FR a publié son alerte le 5 novembre 2026, puis ajouté l’identifiant CVE-2026-123158 dans sa mise à jour du 6 novembre.
Sur Alpine, les comptes présents font partie du diagnostic
Le problème touche les systèmes utilisant musl, une bibliothèque qui fournit des fonctions de base aux programmes Linux, lorsque PAM est absent ou désactivé. PAM est la couche à laquelle OpenSSH peut déléguer la vérification des identifiants. Le serveur doit également accepter les connexions par mot de passe.
Le bulletin d’Alpine Linux précise les conditions liées aux comptes : l’un doit avoir son mot de passe désactivé, avec un astérisque dans le champ correspondant, et un autre doit posséder une empreinte de mot de passe au format SHA-256 ou SHA-512. Cette empreinte est la valeur calculée que le système conserve pour vérifier le mot de passe. Un compte accessible uniquement par clé peut donc être exposé si les autres conditions sont réunies.
La seule présence d’OpenSSH ne suffit ainsi pas à conclure. Alpine exclut notamment les conteneurs qui n’exécutent pas de serveur SSH et les installations où la connexion par mot de passe est désactivée.
Installer le paquet corrigé, puis redémarrer sshd
OpenSSH a publié la version 10.6p2 le 5 novembre. Alpine distribue aussi le correctif dans des paquets conservant des numéros OpenSSH antérieurs : les administrateurs doivent suivre le bulletin de leur branche Linux plutôt que se fier au seul numéro amont. Après installation, le CERT-FR demande impérativement de redémarrer sshd, le programme qui reçoit les connexions SSH. Le paquet mis à jour ne remplace pas à lui seul le service déjà en cours d’exécution.
Si le correctif ne peut pas être appliqué, le CERT-FR recommande de désactiver l’authentification par mot de passe ou, à défaut, le service SSH. Ce changement de configuration exige lui aussi un redémarrage de sshd. Avant de couper les connexions par mot de passe, Alpine demande de vérifier que l’accès par clé fonctionne et de garder la session actuelle ouverte jusqu’au test d’une nouvelle connexion.
À retenir
Le CERT-FR a alerté le 5 novembre 2026 sur un contournement d’authentification SSH, identifié CVE-2026-123158 le 6 novembre dans son avis. Le périmètre dépend de musl, de PAM, de l’authentification par mot de passe et des comptes présents. Les administrateurs doivent installer le paquet corrigé de leur distribution et redémarrer sshd ; à défaut, désactiver les mots de passe ou le service.
