Une faille d’OpenSSH, l’outil de connexion sécurisée à distance utilisé pour administrer des serveurs, peut permettre d’entrer sur certaines machines Linux sans mot de passe valide. Dans son alerte publiée le 5 novembre 2026, le CERT-FR invite les administrateurs à vérifier leur configuration et les connexions de comptes dont le mot de passe est désactivé.
Le scénario décrit concerne les systèmes qui utilisent musl, une bibliothèque fournissant des fonctions de base aux logiciels Linux, lorsque OpenSSH a été compilé sans PAM ou fonctionne avec PAM désactivé. PAM, pour Pluggable Authentication Modules, permet aux services de s’appuyer sur différentes méthodes d’authentification. Le service qui reçoit les connexions SSH, appelé sshd, est ici le point d’entrée.
Des comptes au mot de passe désactivé à contrôler
Le CERT-FR recommande de vérifier la légitimité des connexions des comptes signalés par une étoile dans le champ de mot de passe du fichier /etc/shadow. Ce marqueur indique que leur mot de passe est désactivé. Il ne faut donc pas confondre cette protection d’un compte avec la désactivation de l’authentification par mot de passe sur l’ensemble du serveur, recommandée pour réduire le risque.
L’alerte qualifie l’exploitation de triviale lorsque les conditions sont réunies. Pour déterminer si une machine est exposée, il faut consulter le bulletin de sa distribution, qui détaille les conditions applicables et les paquets corrigés, plutôt que se fier à la seule présence d’OpenSSH.
Le correctif doit être suivi d’un redémarrage
Le CERT-FR cite OpenSSH 10.6p2 comme seuil de correction du logiciel d’origine et renvoie aux bulletins des éditeurs pour obtenir le correctif adapté. Sur une distribution Linux, c’est donc son paquet corrigé qu’il faut identifier. Après l’installation, le redémarrage de sshd est impératif.
Si le correctif ne peut pas être appliqué, le CERT-FR préconise de désactiver l’authentification par mot de passe sur le serveur ou, à défaut, le service SSH. Un changement de configuration doit lui aussi être suivi d’un redémarrage de sshd.
À retenir
Selon le CERT-FR, certaines configurations Linux utilisant musl avec OpenSSH sans PAM actif permettent un contournement d’authentification. Les connexions des comptes au mot de passe désactivé doivent être contrôlées. Il faut appliquer le paquet corrigé de sa distribution et redémarrer sshd ; à défaut, désactiver l’authentification par mot de passe du serveur ou le service SSH.
