加入 TWISA
選單

漏洞告警2026 年 11 月 6 日（五）

OpenSSH 密碼驗證繞過：從 Alpine 跳板機查到網通與 IoT 閘道器

CVE-2026-123158 影響特定使用 musl、未啟用 PAM 且允許密碼登入的 OpenSSH 伺服器。請盤點跳板機、網通韌體與 IoT 閘道器，依分支更新並重啟 sshd。

下載 PDF查看適用的解決方案回資安告警
01

內文

MITRE 於 2026 年 11 月 5 日公布 CVE-2026-123158（*sshole），CVSS v3.1 基準分數 8.1。若攻擊者可連到符合條件的 OpenSSH 伺服器，可能在不知道密碼的情況下登入既有帳號。OpenSSH Portable 已於同日發布 10.6p2；Alpine 亦提供各分支的修補套件。CISA 的 CVE 補充紀錄列有公開概念驗證，目前未確認在野利用。

Alpine Linux 會出現在哪裡？

Alpine 以 musl libc 和 BusyBox 為基礎，體積小，可做為容器基底、雲端虛擬機，也可用於嵌入式交換器與企業路由器。企業應把分點網通設備、工業或 IoT 閘道器與遠端維運設備納入盤點。對這些設備要分兩層查：一是設備韌體或宿主系統的管理 SSH，二是設備內以 Alpine 為基底、另行啟動 SSH 的維護容器。兩者的服務版本、網路可達性與更新管道可能不同。

網通設備： 路由器、交換器、閘道器從管理介面與遠端維護功能查起。標準 OpenWrt 預設使用 Dropbear，只有實際另裝或由廠商整合 OpenSSH Server，才需比對本漏洞的條件。

IoT 與工業設備： 先查執行嵌入式 Linux、可遠端登入的邊緣閘道器或控制器。查設備型號、韌體版本、廠商安全公告與軟體物料清單（SBOM）；若廠商未公開元件資訊，請其確認 SSH 伺服器實作、版本、PAM 設定與修補版。不要直接替封裝設備安裝通用套件。

雲端與容器： 盤點跳板機、Alpine tiny-cloud 映像、遠端建置主機與提供 SSH 的容器。只採 Alpine 當基底、沒有執行 sshd 的容器，不會透過自身觸發本漏洞；宿主機要另查。Alpine 指出，部分 tiny-cloud 映像的 alpine 帳號可用 doas 提權；一旦後續設定產生符合條件的密碼雜湊，就可能由帳號登入擴大至 root。

什麼情況才會被利用？

上游受影響範圍為 10.6p2 之前且未回補的 OpenSSH Portable：Linux 使用 musl libc，sshd 未使用 PAM，且目標連線允許密碼驗證。依 Alpine 公告，攻擊者還必須能連到 SSH、知道密碼欄為星號的目標帳號，且系統至少有另一個採 SHA-256 crypt（$5$）或 SHA-512 crypt（$6$）的本機帳號。啟用 PAM 的套件與設定、停用密碼登入的連線、採用其他 SSH 伺服器的設備，不適用此攻擊路徑。預設禁止 root 密碼登入可阻擋直接登入 root，但不能排除從其他具 sudo 或 doas 權限的帳號提權。

攻擊流程可能的攻擊與影響路徑
  1. 01

    管理 SSH 可達

    從網際網路、維運網段或委外連線接觸管理服務

  2. 02

    觸發驗證繞過

    未使用 PAM 的 sshd 將 musl 的錯誤回傳誤判成相符

  3. 03

    以既有身分登入

    依目標帳號權限存取設備、資料或可連線系統

行動建議：從外部邊界查到內部核心

應變流程盤點、限制入口、修補與調查
  1. 01

    盤點

    從公開位址、VPN、管理網段與委外連線查到設備及容器，核對正在監聽的程序、韌體與套件版本、C 函式庫、PAM、SSH 有效設定及帳號狀態。不要把密碼雜湊匯出到工單或日誌。

    看看能怎麼應對1項資源

    TWISA 會員方案

    盤點

    從公開位址、VPN、管理網段與委外連線查到設備及容器，核對正在監聽的程序、韌體與套件版本、C 函式庫、PAM、SSH 有效設定及帳號狀態。不要把密碼雜湊匯出到工單或日誌。

  2. 02

    先限縮入口

    確認金鑰登入與備援管理通道可用，保留現有工作階段。暫不能更新時，依原廠設定 PasswordAuthentication no，檢查 Match 覆寫、驗證設定後重啟 sshd 並從另一工作階段複驗。管理面限可信來源，經 VPN 或管理網段存取。

    看看能怎麼應對3項資源

    TWISA 會員方案

    先限縮入口

    適用優惠：眾至資訊「新世代防火牆NU-6000」可於相關網路路徑限制來源及分段，仍須更新受影響產品。優惠至 2026/12/31：95 折、AI IPS 與 AI Sandstorm 一年、硬體保固 30 個月；代碼 TWISA2026_ShareTech。

  3. 03

    分支修補

    上游升至 10.6p2 或使用發行版回補。Alpine edge 為 10.6_p2-r0；3.24 為 10.3_p1-r2、3.23 為 10.2_p1-r1、3.22 為 10.0_p1-r11、3.21 為 9.9_p2-r1。3.16 至 3.20 亦有回補，請看 Alpine 公告，並安排退出已停止維護的分支。更新套件後要重啟 sshd；容器應重建並替換執行個體，封裝設備則依廠商韌體流程更新。

  4. 04

    調查與複驗

    檢視原本只允許金鑰的帳號是否有 Accepted password 紀錄，並查新增帳號、authorized_keys、sudo／doas 使用與管理設定變更。有可疑登入時保全紀錄、隔離、清查同一帳號及設備可及的系統，視影響輪替憑證並以可信映像復原。更新後確認執行版本、各管理來源的可達性及合法金鑰登入。

    看看能怎麼應對1項資源

    TWISA 會員方案

    調查與複驗

    檢視原本只允許金鑰的帳號是否有 Accepted password 紀錄，並查新增帳號、authorized_keys、sudo／doas 使用與管理設定變更。有可疑登入時保全紀錄、隔離、清查同一帳號及設備可及的系統，視影響輪替憑證並以可信映像復原。更新後確認執行版本、各管理來源的可達性及合法金鑰登入。

防禦架構從 SSH 入口到設備、容器與內部網段

分開盤點韌體、宿主系統與容器的管理 SSH 服務

業務連線依授權放行，各層分別落實防護

  1. 01

    管理入口

    SSH 及委外維運通道

    限縮來源經 VPN 或專用管理網段連線

  2. 02

    設備及容器

    執行中的 sshd

    依供應商修補更新韌體、重啟服務或替換容器

  3. 03

    帳號與權限

    維護帳號及其可及系統

    限制後續影響確認金鑰登入及管理帳號最小權限

各層日誌與流量，送往監控與應變流程

  1. 監控與復原集中 SSH 紀錄、查異常登入並驗證可信復原

主動測試與複驗

經授權後進行資產探測、弱點掃描、滲透、API 測試與攻擊模擬，核對委外、容器和設備部署及管理路徑，修補後複測。網站 WAF 的請求、告警、實際阻擋和後端結果應另行驗證，不能以網站請求的測試取代 SSH 與內網管理風險的檢視。

TWISA 會員方案

  • 對應「盤點」

    從公開位址、VPN、管理網段與委外連線查到設備及容器，核對正在監聽的程序、韌體與套件版本、C 函式庫、PAM、SSH 有效設定及帳號狀態。不要把密碼雜湊匯出到工單或日誌。

  • 對應「先限縮入口」

    適用優惠：眾至資訊「新世代防火牆NU-6000」可於相關網路路徑限制來源及分段，仍須更新受影響產品。優惠至 2026/12/31：95 折、AI IPS 與 AI Sandstorm 一年、硬體保固 30 個月；代碼 TWISA2026_ShareTech。

    確認金鑰登入與備援管理通道可用，保留現有工作階段。暫不能更新時，依原廠設定 PasswordAuthentication no，檢查 Match 覆寫、驗證設定後重啟 sshd 並從另一工作階段複驗。管理面限可信來源，經 VPN 或管理網段存取。

  • 對應「調查與複驗」

    檢視原本只允許金鑰的帳號是否有 Accepted password 紀錄，並查新增帳號、authorized_keys、sudo／doas 使用與管理設定變更。有可疑登入時保全紀錄、隔離、清查同一帳號及設備可及的系統，視影響輪替憑證並以可信映像復原。更新後確認執行版本、各管理來源的可達性及合法金鑰登入。

歡迎洽詢各會員，取得更詳細的產品與服務介紹及說明。

通報更新日期：2026/11/11。產品支援與修補狀態以原廠最新資料為準。