Identificado como CVE-2026-123158 y llamado *sshole*, el fallo afecta a configuraciones de Alpine Linux que combinan OpenSSH y musl, sin usar PAM para gestionar la autenticación. Otras plataformas podrían estar expuestas si reúnen las mismas condiciones.
El error puede ocurrir al procesar contraseñas de entre 257 y 1.024 bytes para cuentas que deberían tener bloqueado ese método de acceso. En ese caso, el sistema puede interpretar como válida una comprobación fallida.
El investigador Özgün Kültekin descubrió la vulnerabilidad. OpenSSH y Alpine publicaron correcciones el 5 de noviembre. Tras instalar las actualizaciones, se recomienda reiniciar el servicio SSH.
Si todavía no es posible actualizar, la recomendación es desactivar la autenticación mediante contraseña y reiniciar el servicio. Antes, hay que comprobar que funciona el acceso mediante claves. No todos los equipos con Alpine Linux están afectados: el riesgo depende de que coincidan las condiciones de configuración descritas.
Con información de Xataka.