sshhole (CVE-2026-123158): Ausgenutzte OpenSSH-Schwachstelle öffnet Konten ohne Passwort
CVSS 8,1 · HochEPSS 16,5 % (97.)Aktiv ausgenutztIn CISA KEVÖffentlicher PoC
Am 5. November 2026 hat das OpenSSH-Projekt OpenSSH 10.6p2 veröffentlicht, um eine Umgehung der Passwortauthentifizierung in sshd zu schließen. Die Schwachstelle, geführt als CVE-2026-123158 und „sshhole“ getauft, betrifft Linux-Systeme, die die C-Bibliothek musl bei deaktiviertem PAM verwenden; das bekannteste Beispiel ist Alpine Linux. Bei passender Kontokonfiguration können sich Angreifende, die den Namen eines Kontos ohne Passwort kennen, innerhalb einer SSH-Verbindung mit einem beliebigen Passwort von 257 bis 1.024 Byte Länge anmelden [1].
Die Schwachstelle wird bereits ausgenutzt. Die CISA hat CVE-2026-123158 am 9. November 2026 in ihren Katalog der Known Exploited Vulnerabilities (KEV) aufgenommen, und das Hongkonger HKCERT meldet eine Ausnutzung in freier Wildbahn. Nationale CERTs in Irland, Spanien und Belgien haben Advisories veröffentlicht.
Greenbone stellt einen Remote-Versionscheck und einen aktiven Check bereit. Der Versionscheck markiert ältere OpenSSH-Banner, allerdings kann Alpine den Fix zurückportiert haben, ohne die angezeigte OpenSSH-Version zu ändern. Der aktive Check kann die Umgehung für einen getesteten Benutzernamen bestätigen; ein negatives Ergebnis schließt sie nicht aus. Prüfen Sie bei der Bewertung der Angreifbarkeit die installierte Revision des Alpine-Pakets und den Neustartstatus.
Jetzt kostenlos testen
Finden Sie heraus, welche Ihrer Server angreifbar sind. Der OPENVAS ENTERPRISE FEED enthält zwei Checks für CVE-2026-123158: einen Versionscheck und einen aktiven Check. Laden Sie OPENVAS SCAN jetzt kostenlos herunter, inklusive einer zweiwöchigen Testversion des OPENVAS ENTERPRISE FEED. So erhalten Sie den tiefsten Einblick, wo in der IT-Infrastruktur Ihrer Organisation Software-Schwachstellen bestehen.
So erkennt Greenbone sshhole
Alpine Linux hat nicht jedes Release auf OpenSSH 10.6p2 gehoben. Ältere Releases hat Alpine behoben, indem es die dort bereits ausgelieferte OpenSSH-Version gepatcht hat. Alpine 3.21 etwa ist mit dem Paket 9.9_p2-r1 behoben, Alpine 3.20 mit 9.7_p1-r6 [1]. Ein Server, der OpenSSH 9.9p2 meldet, kann daher gepatcht oder ungepatcht sein. Der Versionscheck markiert Kandidaten; der aktive Check sendet präparierte Anfragen an den SSH-Dienst und prüft die Antworten.
Beide Checks sind im Feed enthalten. Stoßen Sie ein manuelles Feed-Update an, um sie jetzt zu erhalten.
Wer angreifbar ist
Laut Alpine Linux ist die Schwachstelle auf einem System nur dann ausnutzbar, wenn alle folgenden Bedingungen erfüllt sind:
- sshd läuft ohne PAM: das Paket
openssh-serveroderopenssh-server-pammitUsePAM no. PasswordAuthenticationsteht aufyes, dem OpenSSH-Standard.- Mindestens ein Konto hat
*im Passwortfeld. Typische Beispiele sind Konten mit reiner Schlüsselanmeldung, Konten aus Verzeichnisdiensten (nslcd, winbind, sssd) und das Benutzerkontoalpinein tiny-cloud-Images. - Mindestens ein weiteres lokales Konto hat einen Passwort-Hash vom Typ
$5$oder$6$.
Ein einziges Konto mit Passwort-Hash genügt, damit jedes ansonsten für SSH zugelassene Konto mit * im Passwortfeld erreichbar wird [1]. Nicht betroffen sind unter anderem Container, in denen kein sshd läuft, Server mit PasswordAuthentication no, openssh-server-pam mit UsePAM yes sowie mit ! gesperrte Konten [1]. Distributionen auf Basis von glibc, etwa Red Hat, SUSE, Ubuntu und Debian, werden als nicht betroffen gemeldet [1].
Die offiziellen tiny-cloud-Images von 3.18.11 bis 3.24.3 liefern ein Benutzerkonto alpine mit dem Passwort * und passwortlosem doas aus. Beim ersten Start sind sie sicher, doch sobald irgendein $6$-Hash auf der Maschine existiert, etwa nachdem ein Admin ein Konsolenpasswort gesetzt hat, können sich Angreifende als alpine anmelden und mit doas Root-Rechte erlangen [1].
Risikobewertung
CVE-2026-123158 hat einen CVSS-3.1-Basiswert von 8,1 (Hoch), Vektor CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H, vergeben von der CNA (MITRE) [1]. Die Schwachstelle ist als CWE-394: Unexpected Status Code or Return Value klassifiziert.
Die Ausnutzung folgte schnell auf die Veröffentlichung:
- CISA KEV: aufgenommen am 9. November 2026, mit einer Frist zur Behebung bis zum 12. November 2026 für US-Bundesbehörden [1].
- Honeypot-Daten: Das SANS Internet Storm Center verzeichnete am 5. November 2026, dem Tag der Veröffentlichung, den ersten echten Exploit-Versuch. Versuche mit ungewöhnlich langen Passwörtern erreichten am 6. November mit 713 ihren Höchststand [1].
- Sensordaten: Previdian registrierte seinen ersten Versuch am 6. November 2026 um 00:05 UTC und zählte bis zum 10. November 22 Versuche von 14 IP-Adressen aus 10 Ländern [1].
- Öffentlicher PoC: Proof-of-Concept-Code ist öffentlich verfügbar [1][2].
Technische Details
Das OpenSSH-Projekt sieht die eigentliche Ursache außerhalb von sshd, „aber sie ist über sshd ausnutzbar und lässt sich dort vermeiden“ [1]. Unter musl gibt die Passwort-Hashing-Funktion bei einem überlangen Passwort * zurück. sshd vergleicht dieses Ergebnis mit dem gespeicherten Passwortfeld, und bei einem Konto, dessen Feld * lautet, stimmen beide überein [1]. OpenSSH 10.6p2 ergänzt eine Prüfung der Mindestlänge des gespeicherten Hashs, sodass der Vergleich nicht mehr erfolgreich ist. Die musl-Maintainer beschreiben das Verhalten als „keinen Fehler in musl, sondern nur eine fehlerhafte Verwendung durch den Aufrufer“ [1].
Gemeldet wurde die Schwachstelle von Özgün Kültekin von Wakefield [1].
Betroffene Versionen und Gegenmaßnahmen
Upstream behebt OpenSSH 10.6p2 die Schwachstelle. Unter Alpine Linux sind edge sowie die Releases 3.16 bis 3.24 betroffen, auch Releases, die keine regulären Updates mehr erhalten. Die behobenen openssh-Pakete lauten [1]:
Tiny-cloud-Images, die aus den Point-Releases 3.21.10, 3.22.8, 3.23.8, 3.24.4 und neuer gebaut wurden, enthalten den Fix.
- Patchen und neu starten. Führen Sie
apk upgrade -U -aaus und starten Sie sshd anschließend neu. Alpine warnt: „Ein Upgrade des Pakets allein ersetzt den laufenden Daemon nicht.“ - Falls Sie noch nicht patchen können, setzen Sie
PasswordAuthentication nound starten Sie sshd neu. Kontrollieren Sie die Einstellung mitsshd -T | grep -i passwordauthenticationund testen Sie die schlüsselbasierte Anmeldung in einer zweiten Sitzung, bevor Sie die erste schließen. - Auf frühere Kompromittierung prüfen. Durchsuchen Sie
/var/log/messagesnachAccepted password forbei Konten ohne Passwort, etwaalpine,rootoder Konten mit reiner Schlüsselanmeldung, und überprüfen Sie die Nutzung vondoas, neue Benutzerkonten, neue Dateien und autorisierte Schlüssel. Wenn Sie eine Anmeldung nicht ausschließen können, behandeln Sie das System als kompromittiert.
Alle drei Schritte folgen dem Advisory von Alpine Linux.
Seit letzter Woche
Out-of-Bounds-Write in Brotli (CVE-2026-111497). Wir haben diese Schwachstelle in Brotli, Cisco und Sophos: Wenn die Konfiguration über die Angreifbarkeit entscheidet behandelt. Diese Woche hat der Feed Checks für Produkte ergänzt, die den anfälligen Decoder mitliefern:
- Elastic Kibana Multiple Vulnerabilities (ESA-2026-232, ESA-2026-229, ESA-2026-203, Brotli2Shell, eMudhra): Versionscheck
- SolarWinds Dameware Mini Remote Control < 2026.3.1 Multiple Vulnerabilities: Lokaler Registry-Check
- SolarWinds Dameware Remote Support < 2026.3.1 Multiple Vulnerabilities: Lokaler Registry-Check
Neue Checks dieser Woche
Zwischen dem 5. und dem 11. November 2026 hat das Feed-Team 120 neue Produkt-Checks für 267 CVEs von 30 Herstellern ausgeliefert. Diese sollten Sie sich zuerst ansehen.
Barracuda-Appliances: Command Injection wird ausgenutzt (CVE-2026-111560)
CVSS 8,6 · HochEPSS 1,1 % (65.)Aktiv ausgenutztIn CISA KEV
CVE-2026-111560 ist eine OS Command Injection im Konfigurationsfeld für die Zeitzone mehrerer Barracuda-Appliances. Authentifizierte Admins können Befehle einschleusen, die als root ausgeführt werden. CVSS-4.0-Basiswert 8,6, vergeben von der CNA (Mandiant) [1]. Barracuda gibt an, es habe „Ausnutzungsaktivitäten festgestellt, die eine kleine Zahl von Organisationen betreffen“ [1], und die CISA hat die CVE am 10. November 2026 in den KEV-Katalog aufgenommen [1].
Betroffen sind Email Security Gateway (ESG), Load Balancer ADC, Web Application Firewall (WAF), Web Security Gateway (WSG), Message Archiver (BMA) und WAF Control Center (WCC). Auf dem ESG lässt sich die Schwachstelle mit CVE-2026-116606, einer Umgehung der Autorisierung, verketten, um Root-Rechte auf dem Gerät zu erlangen. Barracuda nennt für jedes Produkt einen Patch und empfiehlt, administrative Schnittstellen auf vertrauenswürdige interne Netzwerke zu beschränken [1].
Checks für CVE-2026-111560:
- Barracuda Email Security Gateway <= 9.4.0.027 OS Command Injection Vulnerability: Versionscheck
- Barracuda Web Application Firewall <= 12.3.0.011 Command Injection Vulnerability: Versionscheck
- Barracuda Load Balancer <= 6.6.0.009 OS Command Injection Vulnerability: Versionscheck
Weitere kritische Schwachstellen mit neuen Checks
Die vier kritischen CVEs mit neuen Checks dieser Woche, jeweils mit CVSS-Schweregrad und EPSS-Ausnutzungswahrscheinlichkeit
ManageEngine ADSelfService Plus: Remote Code Execution (RCE) im GINA-Client [CWE-78], behoben in Build 7001 [1]. Check: Versionscheck
JetBrains Hub: Rechteausweitung durch Ändern der E-Mail-Authentifizierungsdaten während der Verifizierung [CWE-915], behoben in 2026.2.52556 [1]. Check: Versionscheck
Sonatype Nexus Repository 3: deaktivierte oder gesperrte Benutzerkonten können sich per SAML- oder OIDC-Single-Sign-on erneut anmelden [CWE-1390]; betrifft Nexus Repository 3 Pro in den Versionen 3.86.0 bis 3.97.x, behoben in 3.98.0 [1]. Check: Versionscheck
OpenNMS: nicht authentifizierter Zugriff auf die REST-API über nicht kanonische HTTP-Methodennamen [CWE-862], behoben in Horizon 36.0.5 sowie Meridian 2024.3.14, 2025.0.11 und 2026.0.1 [1]. Check: Versionscheck
Fazit
sshhole macht aus einer Komforteinstellung, der neben Konten mit reiner Schlüsselanmeldung aktiv gelassenen Passwortauthentifizierung, einen Zugang für alle, die einen Benutzernamen kennen. Die Schwachstelle steht im KEV-Katalog der CISA, Honeypots verzeichneten am Tag der Veröffentlichung Exploit-Versuche, und ein öffentlicher PoC ist verfügbar. Patchen Sie auf OpenSSH 10.6p2 oder das behobene Alpine-Paket, starten Sie sshd neu und prüfen Sie Ihre Logs auf Anmeldungen, die Sie sich nicht erklären können. Da Alpine ältere Releases behoben hat, ohne deren OpenSSH-Versionsnummer zu ändern, führen Sie neben dem Versionscheck auch den aktiven Check aus, um zu sehen, welche Server noch angreifbar sind.
Jetzt kostenlos testen
Finden Sie heraus, welche Ihrer Server angreifbar sind. Der OPENVAS ENTERPRISE FEED enthält zwei Checks für CVE-2026-123158: einen Versionscheck und einen aktiven Check. Laden Sie OPENVAS SCAN jetzt kostenlos herunter, inklusive einer zweiwöchigen Testversion des OPENVAS ENTERPRISE FEED. So erhalten Sie den tiefsten Einblick, wo in der IT-Infrastruktur Ihrer Organisation Software-Schwachstellen bestehen.
Alle neuen Checks mit CVSS 8,0 oder höher
