Aktualisieren Sie OpenSSH umgehend auf Version 10.6p2 oder höher und starten Sie den SSH-Dienst neu.
▸▾Herleitung der Bewertung(5)
Wie der Wert zustande kommt
- Im CISA-KEV-Katalog: CVE-2026-123158+25
- Hoechster CVSS-Basiswert 8.1+15
- Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-123158, CVSS-Vektor AV:N/PR:N)+10
- Belegte ATT&CK-Technik zum Erstzugriff+6
- EPSS 18.9 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+3
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
- Strukturierte CVE-Daten aus der NVD vorhanden
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
OpenSSH Rushes Patches for ‘SSHole’ Authentication Bypass
OpenSSH hat Notfall-Patches für eine kritische Authentifizierungslücke (CVE-2026-123158, „SSHole“) veröffentlicht. Angreifer können sich auf betroffenen Linux-Distributionen wie Alpine, die musl libc und deaktiviertes PAM nutzen, mit sehr langen Passwörtern anmelden. Besonders gefährdet sind Konten ohne Passwort, wie Root, wenn andere Konten SHA-256/512-Hashes verwenden. Nutzer sollten umgehend OpenSSH auf Version 10.6p2 aktualisieren und den SSH-Dienst neu starten, um unbefugten Zugriff zu verhindern.
SecBoard-Einordnung
Diese Schwachstelle ermöglicht es Angreifern, sich ohne gültige Anmeldeinformationen bei betroffenen Systemen anzumelden, was zu vollständiger Systemkompromittierung führen kann. Die Umgehung der Authentifizierung ist eine der schwerwiegendsten Bedrohungen für die Systemsicherheit.
Realistisch schlimmster Fall: Der schlimmste Fall ist die vollständige Kompromittierung von Servern, einschließlich Root-Zugriff, durch unbefugte Dritte. Dies könnte zu Datenexfiltration, Systemmanipulation oder der Installation von Malware führen.
Empfehlung: Aktualisieren Sie OpenSSH umgehend auf Version 10.6p2 oder höher und starten Sie den SSH-Dienst neu. Alternativ kann die Passwort-Anmeldung deaktiviert werden, falls dies mit den Betriebsrichtlinien vereinbar ist.
Key Facts
- CVSS
- 8.1 · HIGH
- EPSS
- 18.9%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- hoch
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- im KEV seit
- 2026-11-09
- Patch
- unbekannt
- Zuweisende CNA
- cve@mitre.org
Betroffen
Organisationen, die OpenSSH-Server auf Linux-Distributionen wie Alpine Linux, OpenWrt, Buildroot und Yocto verwenden, insbesondere wenn diese musl libc nutzen und PAM deaktiviert ist. Konten ohne Passwort, wie Root, sind besonders gefährdet, wenn andere Konten SHA-256/512-Hashes verwenden.
Hersteller
Produkte
▸ CPE-Rohbezeichner anzeigen▾ CPE-Rohbezeichner ausblenden (3)
- cpe:2.3:a:openbsd:openssh:*:*:*:*:*:*:*:*
- cpe:2.3:a:openbsd:openssh:10.6:-:*:*:*:*:*:*
- cpe:2.3:a:openbsd:openssh:10.6:p1:*:*:*:*:*:*
Prüfen
3- ▸Überprüfen Sie die OpenSSH-Version auf allen Linux-Servern und stellen Sie sicher, dass diese 10.6p2 oder höher ist.
- ▸Identifizieren Sie Linux-Distributionen, die musl libc verwenden (z.B. Alpine Linux, OpenWrt, Buildroot, Yocto), und prüfen Sie den Status von PAM.
▸ 1 weitere▾ weniger
- ▸Überprüfen Sie die SSH-Server-Protokolle auf Anmeldeversuche mit ungewöhnlich langen Passwörtern (zwischen 257 und 1.024 Zeichen).
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Es ist nicht spezifiziert, ob die Schwachstelle aktiv ausgenutzt wird oder ob es bekannte IOCs gibt.
- ▸Die genaue Anzahl der weltweit betroffenen Systeme ist nicht spezifiziert.
- ▸Es ist nicht spezifiziert, welche spezifischen SHA-256/512-Hash-Implementierungen die Anfälligkeit beeinflussen.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Ja
Kundenfragen
- Haben wir Cisco extern erreichbar?
- Haben wir Citrix extern erreichbar?
- Können wir Initial Access detektieren?
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(3)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Angreifer können sich [...] mit sehr langen Passwörtern anmelden.“
„Angreifer können sich auf betroffenen Linux-Distributionen [...] mit sehr langen Passwörtern anmelden.“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
1
Ausnutzung
0
Einnistung
0
Fernsteuerung
0
Zielhandlung
0
Quellen & Belege· 1 Quelle
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
CVE-Profile
ATT&CK-Heatmap