更新時間：2026/11/13 16:35:44
發佈時間：2026/11/13 16:35:44
TLP：
(White)
得對外公開散布，但不得違反著作權法等相關規定
更新說明：
一、漏洞說明[1][2][3]
OpenSSH 伺服器（sshd）存在密碼身分驗證繞過漏洞（CVE-2026-123158），因密碼雜湊值判斷異常，在已啟用 SSH 密碼驗證且符合特定帳號條件時，攻擊者可使用長度介於256至1024個字元的任意密碼通過身分驗證。
此漏洞影響Linux系統中使用musl libc且未啟用PAM的OpenSSH環境。
二、已揭露攻擊活動說明
1. CISA已納入漏洞利用清單。[4]
三、SSVC漏洞處置決策方法：
利用狀況（Exploitation）: 已遭實際利用（Active）
可否自動化利用（Automatable）: 否（No）
技術影響（Technical Impact）: 完全控制（Total）
▶ 漏洞資訊
⌵
名稱：
CVE-2026-123158
描述：
使用版本：CVSS 3.1
分析分數：8.1
參考來源：MITRE
▶ 影響平台
⌵
影響平台-系統：
1. OpenSSH 10.6p2（不含）之前版本受影響，建議更新至10.6p2或以上版本。
2. Alpine Linux各分支受影響之OpenSSH套件版本如下：
(1) edge：10.6_p2-r0（不含）之前版本，建議更新至10.6_p2-r0或以上版本。
(2) 3.24：10.3_p1-r2（不含）之前版本，建議更新至10.3_p1-r2或以上版本。
(3) 3.23：10.2_p1-r1（不含）之前版本，建議更新至10.2_p1-r1或以上版本。
(4) 3.22：10.0_p1-r11（不含）之前版本，建議更新至10.0_p1-r11或以上版本。
(5) 3.21：9.9_p2-r1（不含）之前版本，建議更新至9.9_p2-r1或以上版本。
(6) 3.20：9.7_p1-r6（不含）之前版本，建議更新至9.7_p1-r6或以上版本。
(7) 3.19：9.6_p1-r3（不含）之前版本，建議更新至9.6_p1-r3或以上版本。
(8) 3.18：9.3_p2-r4（不含）之前版本，建議更新至9.3_p2-r4或以上版本。
(9) 3.17：9.1_p1-r7（不含）之前版本，建議更新至9.1_p1-r7或以上版本。
(10) 3.16：9.0_p1-r6（不含）之前版本，建議更新至9.0_p1-r6或以上版本。
註：
(1)Alpine Linux官方指出，漏洞利用須啟用SSH密碼驗證，且目標帳號密碼欄位為「*」、至少另有一個本機帳號使用「$5$」或「$6$」密碼雜湊。
(2)上述影響平台及版本資訊並非完整清單，建議依據實際使用之Linux發行版及OpenSSH版本，參考官方安全公告確認受影響情形及修補資訊。
▶ 建議措施
⌵
1.官方已發布修補程式，建議會員依據單位內漏洞管理機制進行相關作業。
2.針對Alpine Linux系統，更新OpenSSH套件後須重新啟動sshd服務，以確保修補程式生效。
3.針對無法立即完成修補之Alpine Linux環境，建議依據官方指引，於確認SSH金鑰登入功能正常後，評估停用SSH密碼驗證功能（PasswordAuthentication no），並重新啟動sshd服務。建議保留現有SSH工作階段，待確認可另開連線以金鑰登入後再關閉。
▶ 參考資訊
⌵
| 編號 | 網址 | 說明 |
|---|---|---|
| 1 | https://www.openssh.org/releasenotes.html#10.6p2 | OpenSSH |
| 2 | https://nvd.nist.gov/vuln/detail/CVE-2026-123158 | NVD |
| 3 | https://alpinelinux.org/posts/2026-11-05-openssh-password-authentication-bypass/ | Alpine Linux |
| 4 | https://www.cisa.gov/known-exploited-vulnerabilities-catalog | CISA |
情資編號：
FISAC-200-202611-0006
系統目錄：
資安漏洞
資安類別：
漏洞公告 /
影響等級：
3
關鍵字：
弱點漏洞