OpenSSH 10.6p2 : Alpine Linux doit redémarrer sshd après la mise à jour

Le 5 novembre 2026, le projet OpenSSH a publié la version 10.6p2 pour fermer un contournement critique de l’authentification par mot de passe. Sur un Linux musl dont sshd ne passe pas par PAM, un compte réduit à un astérisque peut accepter une connexion. Alpine Linux est le cas le plus courant : son paquet openssh-server est compilé sans PAM. L’avis d’Alpine, le même jour, ne donne pas encore d’identifiant CVE.

Qui doit relancer sshd

L’avis d’Alpine du 5 novembre 2026 réunit quatre conditions. Le paquet est openssh-server, sans PAM, ou openssh-server-pam avec UsePAM no. PasswordAuthentication est resté sur yes. Un compte n’a qu’un astérisque. Un autre compte local a un hachage en $5$ ou en $6$. Damien Miller a précisé sur Hachyderm qu’un binaire compilé avec PAM reste exposé si UsePAM passe ensuite à no.

L’astérisque marque un compte sans mot de passe. Root est livré ainsi depuis Alpine 3.16 environ, mais PermitRootLogin prohibit-password bloque une connexion root par mot de passe. Le compte visé est plutôt un utilisateur sans mot de passe, un compte d’annuaire absent de shadow, ou l’utilisateur alpine des images cloud. S’il devient root par doas, la session ouvre la machine.

Un conteneur sans sshd, un hôte déjà en PasswordAuthentication no, ou openssh-server-pam avec UsePAM yes, sort du périmètre. Un point d’exclamation verrouille mot de passe et clé. Sans hachage $5$ ou $6$, il n’y a pas de sel à emprunter. cloud-init protège l’image quand il désactive les mots de passe.

Dropbear n’est pas dans le même cas

Özgün Kültekin, de Wakefield, cite OpenWrt, Buildroot et Yocto, qui peuvent être bâtis avec musl. OpenWrt livre Dropbear. Natanael Copa, mainteneur d’Alpine, a indiqué que ce serveur n’est pas concerné. Rich Felker, mainteneur de musl, l’a confirmé. OpenSSH situe la cause hors de sshd et corrige pourtant le démon, parce que la connexion passe par lui.

Les versions du 5 novembre, puis un redémarrage

Alpine a sorti le 5 novembre 2026 les versions 3.21.10, 3.22.8, 3.23.8 et 3.24.4. Edge reçoit openssh 10.6_p2-r0. Ailleurs, le correctif est rétroporté : 10.3_p1-r2 en 3.24, 10.2_p1-r1 en 3.23, 10.0_p1-r11 en 3.22, 9.9_p2-r1 en 3.21. Des paquets vont de 3.16 à 3.20. La 3.21 a fini son support le 1er novembre 2026 ; le correctif descend tout de même jusqu’à la 3.16.

L’avis donne apk upgrade -U -a, puis rc-service sshd restart. Sans ce second geste, l’ancien processus garde le port. Si le paquet doit attendre, PasswordAuthentication no et un redémarrage ferment le passage. Une connexion par clé doit d’abord réussir, session ouverte conservée. Avant la 3.19, sshd_config.d n’est pas lu par défaut. Un bloc Match peut réactiver les mots de passe : sshd -T doit afficher passwordauthentication no.

Images tiny-cloud et compte alpine

Les images officielles en qcow2, VHD et AMI, de 3.18.11 à 3.24.3, créent un utilisateur alpine à l’astérisque et un doas sans mot de passe. Le montage devient exploitable avec un mot de passe de console ou un compte ajouté déjà haché : alpine donne alors root. Les images bâties depuis 3.21.10, 3.22.8, 3.23.8 et 3.24.4 embarquent le paquet corrigé. Chaque instance plus ancienne doit être mise à jour, ou limitée aux clés.

Publié le lendemain du signalement

Kültekin a fait tenter environ 17 600 authentifications par des agents d’IA. Seule la combinaison musl sans PAM acceptait une session refusée sur les autres builds. Alpine résume : une connexion, à chaque fois, sans second essai, si le nom du compte est connu et si le port répond. Les notes de la 10.6p2 disent que l’équipe l’a su la veille. Miller écrit, à l’attention des exploitants concernés :

stop reading and set PasswordAuthentication=no or disable SSH for these systems IMMEDIATELY.

Damien Miller, le 5 novembre 2026, sur Hachyderm. La consigne vise un Linux musl sans PAM dont SSH est joignable.

La ligne « Accepted password »

Alpine demande de chercher dans /var/log/messages une ligne sshd « Accepted password for » pour alpine, root ou un compte réservé aux clés. Il faut aussi revoir doas, les utilisateurs récents et les clés autorisées. Une ligne inexpliquée, dit l’avis, conduit à traiter la machine comme compromise. Le correctif bloque une nouvelle connexion de ce type. Il n’efface pas un accès déjà en place.

KLYNLABS a suivi d’autres accès SSH, dont le rapport Tailworm sur Tailscale SSH. Onze failles y sont encore sans correctif. Ici, le paquet du 5 novembre 2026 existe déjà.

Sources

• Notes OpenSSH 10.6p2, 5 novembre 2026.

• Avis Alpine Linux, 5 novembre 2026.

• Alpine 3.21.10, 3.22.8, 3.23.8 et 3.24.4, 5 novembre 2026.

• Damien Miller sur Hachyderm, 5 novembre 2026.

• Compte rendu d’Özgün Kültekin, Wakefield, 5 novembre 2026.

• BleepingComputer, Lawrence Abrams, 5 novembre 2026, 17 h 45 UTC.