OpenSSHの認証回避「CVE-2026-123158」が、2026年11月9日にCISAの悪用確認済み脆弱性カタログ（KEV）へ追加されました。とくにAlpine LinuxでSSHサーバーを運用する担当者は、対象条件と修正状況を優先して確認してください。
利用者が普段は公開鍵を使っていても、サーバー側でパスワード認証が許可され、ほかの条件がそろうと影響します。一方、SSHサーバーを動かしていないコンテナまで一律に脆弱とする問題ではありません。
今回の新情報はKEVへの追加です。上流の修正版10.6p2とAlpineの修正案内は11月5日に公開済みで、11月9日が修正版の初公開日という意味ではありません。本記事は11月10日朝の公開情報をもとに、対象の見分け方と運用の順序を整理します。実環境での攻撃再現やパッチ適用は行っていません。
何が起きるのか：Linuxの特定条件でパスワード認証を回避
CVEレコードは、Linux上のOpenSSH 10.6p2未満で、musl libcを使いPAMを使わない構成に関わる問題として説明しています。musl libcはプログラムが共通処理に使う基盤ライブラリー、PAMは認証処理を組み合わせる仕組みです。OpenSSHの版だけで、全OS・全構成が影響すると判定しないでください。
Alpineの説明では、認証計算の失敗を表す値と、パスワードを設定していないアカウントの保存欄が一致してしまうことが問題です。本来は失敗として扱うべき結果を、認証成功と誤認します。OpenSSH側はこの経路を回避する修正を入れました。ここでは攻撃用入力や再現手順は掲載しません。
| 判断材料 | 確認した事実 | 読み方 |
|---|---|---|
| CVE | CVE-2026-123158 | CVEレコードの公開は11月5日（UTC） |
| 深刻度 | CVEのMITRE CNA欄：CVSS v3.1 8.1（High） | CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 実悪用 | CISA KEVに11月9日追加 | 攻撃開始日や日本の被害件数は確認できない |
| CISA掲載期限 | 11月12日 | 米国機関向け対応枠の期限。日本企業へ一律に適用される法定期限ではない |
| 影響 | 条件を満たすアカウントへの不正ログイン | その後の権限・扱う情報はアカウント設定による |
「悪用確認済み」は、自社も侵害されたという意味ではありません。ただし修正待ちの間にも悪用され得る判断材料なので、対象資産の特定、到達経路の制限、更新と侵害確認を並行して計画する理由になります。
誰が対象か：サーバー設定とアカウント条件を組み合わせる
Alpineの対象条件は次の組み合わせです。管理対象ホストの情報で確認し、自分のMacやWindowsから実行したSSHクライアントのバージョンだけで結論を出さないでください。
| 点検する条件 | 確認の観点 |
|---|---|
| sshdが動作し、接続可能 | Alpineを使うだけでは足りない。サーバー側のプロセス・公開経路を確認 |
| PAMを利用していない | 通常のopenssh-server、またはopenssh-server-pamでUsePAM no。後者のUsePAM yesは本件対象外と案内 |
| PasswordAuthentication yes | 普段のログイン方法ではなく、実効設定を確認 |
| 対象アカウントのパスワード欄が * | 鍵専用のつもりのアカウントも含み得る。保存欄やハッシュを外部へ送らない |
| 同じマシンに $5$ または $6$ 形式のパスワードハッシュを持つローカルアカウントが少なくとも1つある | 自分のアカウントだけを調べて判定しない |
rootへの直接のパスワードログインにはPermitRootLoginの設定も関係します。Alpineは既定のprohibit-passwordがrootを保護すると説明していますが、ほかのログイン可能なアカウントまで保護できるとは限りません。tiny-cloudでは、告知が挙げる旧イメージ（3.18.11〜3.24.3）に、保存欄が * のalpineユーザーとパスワード不要のdoasが含まれます。未修正の稼働環境で後から $6$ 形式のハッシュが作られると、alpineへの不正ログインからdoas経由でrootに至り得るとしています。下記の修正を含むポイントリリースとは区別し、「初期状態で安全だった」「rootは禁止している」という記録だけで点検を終えないことが大切です。
対して、sshdを動かしていないコンテナ、実効設定でPasswordAuthentication noの環境、PAM版でUsePAM yesの環境などは、Alpineが本件の影響を受けない例として挙げています。これはほかの脆弱性や設定不備も含めた安全性の保証ではありません。
修正版の対応表：10.6p2未満という表示だけで未修正にしない
上流OpenSSHは11月5日に10.6p2を公開しました。一方、Alpineは既存の系列へ修正を取り込む「バックポート」を行っています。ディストリビューション版では末尾のパッケージ改訂番号まで比較してください。下表はAlpineの公式修正表を整理したものです。
| Alpine系列 | 修正を含むopensshパッケージ版 |
|---|---|
| edge | 10.6_p2-r0 |
| 3.24 | 10.3_p1-r2 |
| 3.23 | 10.2_p1-r1 |
| 3.22 | 10.0_p1-r11 |
| 3.21 | 9.9_p2-r1 |
| 3.20 | 9.7_p1-r6 |
| 3.19 | 9.6_p1-r3 |
| 3.18 | 9.3_p2-r4 |
| 3.17 | 9.1_p1-r7 |
| 3.16 | 9.0_p1-r6 |
Alpineの11月5日リリース告知は3.21.10、3.22.8、3.23.8、3.24.4に修正を含むとしています。ただし、稼働中の古いインスタンスが自動的に置き換わるわけではありません。OSイメージの名前に加え、実際のパッケージと稼働プロセスを確認します。
Alpineは3.21について11月1日にサポート終了したと説明し、今回に限って3.16まで修正パッケージを提供しています。古い系列に修正があることを、通常サポートが再開した意味に読み替えないでください。本件への対応と、サポート中の系列への移行は別々に管理します。他のディストリビューションや独自ビルドへ、この表をそのまま適用することも避けます。
運用担当者の手順：更新後のsshd再起動までを作業にする
以下は公式情報をもとにした運用上の提案です。ここでの確認・変更は、自組織が権限を持つ対象に限ります。再起動や認証設定の変更は接続不能につながるため、コンソールなどの復旧経路を確保し、既存セッションを残して別接続で確認します。
- 1資産の所在を把握する。インターネット公開ホスト、VPN内、踏み台、古いクラウドイメージ、sshdを内包するコンテナ、待機系を台帳から確認する。勝手な外部スキャンは行わない。
- 2サーバー上で系列、パッケージ改訂番号、PAMの利用、パスワード認証の実効設定を確認する。IncludeやMatchによる接続元・利用者別の設定差も記録する。
- 3正規リポジトリと提供元の更新手順を確認する。Alpineの案内はパッケージ更新とsshdの再起動を求めている。保守窓、依存パッケージへの影響、バックアップ、切り戻し方法を先に決める。
- 4更新後にsshdを再起動し、修正済みの実行ファイルで動作していることを確認する。ダウンロード済み・インストール済みだけを完了にしない。
- 5別セッションで承認済みの鍵認証と必要な通常業務を確認する。通常の接続確認は、攻撃が成功しないことや過去の侵害がないことの証明とは区別する。
- 6更新時刻、稼働確認、例外資産、担当者、侵害確認の進捗を記録する。クラウドの再作成元イメージや構成管理も直し、古い構成の再投入を防ぐ。
sshdの公式マニュアルでは、-tは設定と鍵の整合性の検査、-Tは実効設定の出力を含む検査です。-Cを組み合わせると接続条件に対応するMatch設定を評価できます。設定ファイルの一行だけを見る方法には限界があるため、管理担当者が対象環境の起動引数・設定ファイル・接続条件と照合します。これらは読み取り中心の設定検査であり、本件の悪用や感染を検査する機能ではありません。
更新までの暫定策と、すでに侵入された可能性の調査
Alpineが案内する暫定策はパスワード認証を無効化することです。先に鍵での接続が機能することと復旧手段を確かめ、対象環境の正式手順でPasswordAuthentication noを適用し、設定検査・再起動・別接続の確認まで行います。公開鍵を登録しただけでは、パスワード認証が無効になったとは限りません。
Alpineの案内は、設定用のdrop-inディレクトリが標準で読まれるのは3.19以降と注意しています。新しい系列向けのファイルを古いホストへ置くだけでは効かない場合があります。通信元の制限は露出を減らす補助策ですが、許可した経路からの悪用や既存の侵害を取り除くものではありません。
侵害確認では、パスワードのないはずのアカウントについて、sshdの「Accepted password for」に相当する成功ログがないかを確認することをAlpineが案内しています。不審な権限昇格、アカウントやauthorized_keysの変更なども、承認された調査手順で確認します。ログの保存先・保存期間は構成によって違うため、記録が見つからないことだけで「侵害なし」と結論を出しません。
疑わしい場合は記録を保全して対応担当者へ引き継ぎ、隔離・認証情報の見直し・再構築などを調査結果に基づき判断します。更新は今後の侵入経路への対処であり、既存の不正な鍵やアカウントまで消えると考えないことが重要です。一般利用者は自分で再現を試さず、管理担当者のメンテナンスと接続方法の案内を確認してください。
LLMへの点検指示：秘密情報を渡さず、確認漏れを表にする
LLMは台帳と作業記録の不一致を整理する補助に使います。パスワード、ハッシュ、秘密鍵、実ユーザー名、接続先の詳細、未加工のログは渡さず、人が判定した条件を匿名化して入力してください。
あなたは脆弱性対応の記録を点検する補助担当です。対象はCVE-2026-123158です。添付した公式資料と匿名化・利用許可済みの台帳だけを読み、外部アクセス、ログイン、スキャン、コマンド実行、攻撃再現、設定変更はしないでください。
入力項目：資産ID、OS系列、サーバーのパッケージ改訂番号、sshd稼働有無、到達経路の分類、PAMの利用、PasswordAuthenticationの実効値、Match条件の確認有無、管理者が判定したアカウント条件、更新・再起動・別接続確認の日時、侵害確認の進捗。秘密値やハッシュそのものは入力しません。
1. 上流10.6p2とAlpineの系列別バックポートを区別し、公式表を根拠に対象を整理する。SSHクライアント版をサーバー版として使わない。
2. 条件が不足していれば「不明」にする。普段は鍵でログインしている、rootは禁止している、という情報だけで対象外にしない。
3. パッケージ更新、sshd再起動、通常業務確認、侵害確認、再作成元の更新を別々の欄にする。
4. 出力は「資産ID／確認済み事実／不足情報／公式根拠／次の担当作業」の表にする。
5. 安全性や侵害なしを保証しない。設定変更や攻撃用入力は生成せず、曖昧な事項は人への確認事項として残す。| 資産ID | 対象条件の根拠 | 修正版・稼働確認 | 侵害確認 | 担当・期限 |
|---|---|---|---|---|
| 記入欄 | 記入欄 | 記入欄 | 記入欄 | 記入欄 |
確認時点と追報
2026年11月10日7時台（JST）に、OpenSSH、Alpine、CVEレコード、CISA公式公開データを照合しました。CISAのWebカタログは取得時に403となったため、公式GitHubのKEVデータとCVE内のCISA追加情報で補完しています。11月5日の修正提供と、11月9日の実悪用を示す追加情報を区別しています。被害組織数、攻撃開始日時、日本国内の被害範囲は未確認です。実機の更新・再起動・攻撃再現は行っていません。重要な対象変更や追加対処は本記事を更新します。