OpenSSH : un leurre Alpine a accepté un accès root, moins de neuf heures après le CVE

Le 6 novembre 2026, Ryan Dewhurst, fondateur de Previdian, a dit à Help Net Security avoir confirmé un accès root sur un leurre faisant tourner Alpine Linux et OpenSSH, lors d’une tentative arrivée moins de neuf heures après la publication de CVE-2026-123158.

La faille elle-même, corrigée le 5 novembre par OpenSSH 10.6p2, était déjà décrite dans notre article de la veille. L’avis d’Alpine ne portait pas encore de numéro CVE. Ce numéro existe désormais, et des tentatives ont été observées. La CISA ne l’avait pas inscrit à son catalogue des vulnérabilités exploitées au moment où Previdian et Help Net Security l’ont écrit.

Deux décomptes, qu’il ne faut pas mélanger

Help Net Security, dans un article du 6 novembre, cite Dewhurst : la première tentative observée est arrivée moins de neuf heures après la publication du CVE, et l’accès root a été confirmé sur un leurre Previdian « running real Alpine Linux and OpenSSH ». Les huit tentatives venaient toutes de 89.116.89.18. Elles ont lancé des commandes de reconnaissance via des sessions SSH non interactives. Previdian n’a pas, dans cette déclaration, publié le détail de la méthode.

La fiche publique Previdian, dont le graphique est marqué à jour le 7 novembre 2026, donne un autre instantané : 14 tentatives, 9 adresses IP distinctes, 8 pays (Suisse, Danemark, Iran, Japon, Pays-Bas, Norvège, Singapour, États-Unis) et 3 capteurs. Première et dernière observation : le 6 novembre. La chronologie de la page place la publication du CVE le 5 novembre à 15 h 46 UTC, puis une observation capteur le 6 novembre à 00 h 05 UTC. L’écart, huit heures et dix-neuf minutes, reste dans la formule « moins de neuf heures ».

La même page prévient que les observations de capteurs sont des tentatives visant la faille, et qu’elles ne montrent pas que la cible était vulnérable ni que la tentative a réussi. Le root confirmé repose donc sur la déclaration du fondateur à Help Net Security, à propos d’un leurre précis, pas sur le total de 14. Previdian a ajouté la faille à sa propre liste de vulnérabilités exploitées le 6 novembre à 9 h 53 UTC. Elle n’est pas, selon cette fiche, dans le catalogue KEV de la CISA.

Qui est concerné, sans reprendre le mode d’emploi

Le périmètre n’a pas changé depuis le 5 novembre. OpenSSH avant 10.6p2, compilé avec la bibliothèque musl et sans modules PAM, peut accepter une connexion par mot de passe sur certains comptes qui ne devraient pas en avoir. Alpine Linux est le cas le plus répandu, parce que son paquet openssh-server est construit ainsi. Les systèmes en glibc, ceux qui passent par PAM, Dropbear et OpenBSD sont hors champ, comme le chercheur Özgün Kültekin l’a indiqué et comme notre article le détaillait déjà.

Help Net Security rappelle, via Kültekin, que d’autres systèmes musl méritent une vérification : OpenWrt, Buildroot, Yocto, et une partie des images Docker. Sur les images cloud officielles d’Alpine, le compte par défaut peut disposer d’un doas sans mot de passe. Ce n’est pas une raison de publier ici la longueur de secret qui déclenche le contournement : des preuves de concept circulent déjà, et Previdian prévient qu’elles ne sont pas vérifiées et peuvent contenir un programme malveillant.

Mettre à jour, puis relancer le démon

OpenSSH 10.6p2 ferme la faille. Alpine a publié des paquets corrigés. Le point opérationnel reste celui du 5 novembre : le paquet installé ne remplace pas le processus sshd déjà lancé. Tant que le service n’a pas redémarré, l’ancien binaire répond.

Pour chercher une connexion déjà acceptée, l’avis relayé par Help Net Security demande de regarder les lignes « Accepted password for » visant un compte qui ne devrait pas accepter de mot de passe, puis l’usage de doas, les utilisateurs créés récemment et les clés autorisées. Si une connexion ne peut pas être écartée, la machine est à traiter comme compromise.

En attendant le paquet, Damien Miller, développeur d’OpenSSH, a demandé sur Mastodon de couper l’authentification par mot de passe ou de désactiver SSH sur les systèmes musl sans PAM. Ce repli ne dispense pas du redémarrage une fois le correctif installé.

Sources

• Help Net Security, 6 novembre 2026, déclaration de Ryan Dewhurst.

• Fiche Previdian CVE-2026-123158, consultée le 7 novembre 2026.

• Article KLYNLABS du 5 novembre 2026, correctif 10.6p2 et redémarrage de sshd.