2026年11月5日、OpenSSHの開発チームは、SSHサーバーのパスワード認証を回避される問題に対処した「Portable OpenSSH 10.6p2」を公開しました。影響を受けるのは、musl libcを使用し、PAMを利用しない構成のLinuxシステムです。Alpine Linuxなどが該当します。
一定の条件が揃ったサーバーでは、攻撃者が本来パスワードでログインできないアカウントに、パスワードを知らなくてもSSHでログインできるおそれがあります。OpenSSHのリリースノートは、この問題への対処を緊急性の高いセキュリティ修正と位置付けています。
対象となるサーバーの管理者は、ディストリビューションが提供する修正済みパッケージを適用し、SSHサーバーを再起動してください。今すぐ更新できない場合は、パスワード認証を無効にすることで問題を回避できます。