Faille critique SSHole dans OpenSSH combiné à musl sur Linux

Niveau A · Corriger aujourd'hui – Avant la fin de la journée

Qui est exposé : Serveurs Linux utilisant OpenSSH combiné à musl

Niveau A, parce que : Infrastructure de base ou outil répandu ET à distance, sans identifiants ET compromission totale

Portée

Attaque

Dégâts

Correctif

Infrastructure de base · Outil répandu · Exploit public · À distance, sans identifiants · Compromission totale

CVE-2026-123158 ↗

L’essentiel

Une faille critique baptisée SSHole (CVE-2026-123158) touche OpenSSH lorsqu'il est combiné à la bibliothèque musl.
Elle permettrait d'accéder à des comptes sans mot de passe sur plusieurs distributions Linux.
Selon la source, l'envoi d'une chaîne arbitraire de plus de 256 caractères suffit à valider l'accès.

Pourquoi c’est important

Un service SSH exposé avec cette combinaison pourrait laisser entrer un attaquant sans identifiants : il faut vérifier si vos systèmes sont concernés.

La check-list derrière le niveau

Check-list · 6 oui sur 10

Oui	Touche les équipes tech	Raisonnement : OpenSSH et Linux sont des outils d'administration utilisés par les équipes techniques.
Oui	Infrastructure de base	Raisonnement : OpenSSH figure parmi les logiciels d'infrastructure de base utilisés par presque toutes les équipes.
Oui	Outil répandu	Raisonnement : OpenSSH est un outil très répandu, présent sur de nombreuses distributions Linux.
Non	Activement exploitée	GNT : l'article décrit une faille sans signaler d'attaques réelles observées.
Oui	Exploit public	CISA SSVCLa CISA qualifie l'exploitation de CVE-2026-123158 de preuve de concept publique
Oui	À distance, sans identifiants	CVSSCVE-2026-123158 : CVSS 8,1 – par le réseau, sans privilèges, sans interaction de l'utilisateur
Oui	Compromission totale	CVSSCVE-2026-123158 : le CVSS juge élevé l'impact sur la confidentialité et sur l'intégrité
Non	Secrets exposés	GNT : l'article ne mentionne aucun vol ni exposition d'identifiants, de clés ou de données.
Non	Chaîne d'approvisionnement	GNT : l'article ne décrit aucune compromission de paquet, de build ou de mise à jour.
Non	Pas encore de correctif	GNT : l'article ne précise pas qu'un correctif manque ou qu'il est incomplet.

Les données officielles

D’après CVE.org, le catalogue Known Exploited Vulnerabilities de la CISA, FIRST EPSS et la GitHub Advisory Database. Quand ces sources répondent à un critère de la check-list, elles priment sur les articles.

CVE-2026-123158 ↗CVSS 8.1 high AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
sshd in OpenSSH before 10.6p2 on Linux, when musl libc is used without PAM, lacks a workaround for a password authentication bypass (related to misinterpretation of whether a string is intended to be a password hash). For some configurations of accounts, any password between 256
Exploitée
Preuve de concept publique (CISA)
EPSS
1.0% de probabilité d’exploitation dans les 30 prochains jours · supérieure à 63% de toutes les CVE
Faiblesse
CWE-394
NVD GHSA-4fcc-vm97-gx3x

Source

Une faille critique dans OpenSSH permet d'entrer sans mot de passe sur Linux ↗ GNT - Actualités · il y a 2 h

Repéré le il y a 2 h · 1 source · Page complète de l’article · Comment les niveaux sont attribués