脆弱性 · 高 · CVSS 8.1
OpenSSH の認証回避の脆弱性 CVE-2026-123158 で悪用試行を確認
ティアS · Shit hits the fan – すべてを止めて対応
影響を受ける人： OpenSSHを使用するサーバー全般
ティアSの理由： 基幹インフラ かつ 悪用確認済み かつ（完全な乗っ取り または シークレットの流出）
影響範囲
攻撃
被害
修正
基幹インフラ · 人気ツール · 悪用確認済み · 公開エクスプロイト · 認証不要のリモート攻撃 · 完全な乗っ取り
取るべき対応
- 利用中のOpenSSHのバージョンを確認し、JPCERT/CCの注意喚起と公式の情報に従って対策を検討する
要点
- JPCERT/CCが2026年11月9日、OpenSSHの認証回避の脆弱性CVE-2026-123158について注意喚起を公開した
- 概念実証（PoC）コードが公開済みで、海外のセキュリティ企業が悪用の試行を確認したとされる
- 記事の時点で、修正版の提供状況は確認できない
なぜ重要か
OpenSSHを使ってサーバーにアクセスする開発者や運用担当者は、認証を回避される恐れがあるため、自分の環境で該当バージョンが使われていないかを早急に確認する必要がある。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中7項目が「はい」
| はい | 開発者に影響 | OpenSSHは開発者や運用チームがサーバー運用に使うため、影響が及ぶと判断される。 |
| はい | 基幹インフラ | OpenSSHはほぼすべてのチームが運用する基幹ソフトウェアであるため該当する。 |
| はい | 人気ツール | OpenSSHは広く使われるツールであり、脆弱性の影響は多くのチームに及ぶ。 |
| はい | 悪用確認済み | CISA SSVCCISAはCVE-2026-123158の悪用状況を「active」（悪用中）と評価 |
| はい | 公開エクスプロイト | CVE.orgCVE-2026-123158の記録がエクスプロイトにリンク：sshhole.com |
| はい | 認証不要のリモート攻撃 | CVSSCVE-2026-123158：CVSS 8.1（ネットワーク経由、特権不要、ユーザー操作不要） |
| はい | 完全な乗っ取り | CVSSCVE-2026-123158：CVSSは機密性と完全性への影響をともに「高」と評価 |
| いいえ | シークレットの流出 | サイバーセキュリティ.comに認証情報や設定、データの持ち出しに関する記述はない。 |
| いいえ | サプライチェーン | サイバーセキュリティ.comに正規パッケージや配布経路の侵害に関する記述はない。 |
| いいえ | 修正なし | サイバーセキュリティ.comに修正版の公開状況に関する記述はない。 |
公式の記録
CVE.org、CISAのKnown Exploited Vulnerabilitiesカタログ、FIRST EPSS、GitHub Advisory Databaseによる情報です。これらがチェックリストの項目に答えている場合は、報道より優先します。
CVE-2026-123158 ↗CVSS 8.1 high AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
sshd in OpenSSH before 10.6p2 on Linux, when musl libc is used without PAM, lacks a workaround for a password authentication bypass (related to misinterpretation of whether a string is intended to be a password hash). For some configurations of accounts, any password between 256
- 悪用確認済み
- CISAは悪用を「活発」と評価
- EPSS
- 今後30日間に悪用される確率は1.0% · 全CVEの63%より高い
- 脆弱性の種類
- CWE-394
タイムライン
JPCERT/CCがCVE-2026-123158について注意喚起を公開
サイバーセキュリティ.com
JPCERT/CCがOpenSSHの認証回避の脆弱性で悪用試行を受け注意喚起
出典
JPCERT/CCがOpenSSHの認証回避の脆弱性で悪用試行を受け注意喚起 ↗ サイバーセキュリティ.com · 2時間前