Une faille dans OpenSSH permet la connexion avec des mots de passe vides sur certaines configurations Linux

Les acteurs malveillants ont commencé à exploiter activement une vulnérabilité critique dans OpenSSH qui permet l'authentification aux comptes utilisateurs configurés sans mot de passe. Cette faille, identifiée sous le nom de CVE-2026-123158 et surnommée SSHole, cible spécifiquement les distributions Linux utilisant la bibliothèque C musl avec les modules d'authentification pluggables (PAM) désactivés. Au 9 novembre 2026, les chercheurs en sécurité ont enregistré vingt tentatives d'exploitation provenant de treize adresses IP uniques réparties dans plusieurs pays.

Ce qui s'est passé

La vulnérabilité affecte les systèmes exécutant OpenSSH sur la bibliothèque C musl, notamment la configuration par défaut que l'on trouve dans Alpine Linux. Lorsque les modules d'authentification pluggables (PAM) sont désactivés, la logique d'authentification ne parvient pas à appliquer correctement les exigences de mot de passe pour les champs vides. Cette négligence permet à un attaquant de se connecter à n'importe quel compte qui n'a pas de mot de passe défini, contournant ainsi efficacement les vérifications standard des identifiants.

Bien que ce problème nécessite une configuration système spécifique, il représente un risque important pour les environnements conteneurisés et les déploiements de serveurs légers qui reposent fréquemment sur Alpine Linux. Le Common Vulnerability Scoring System (CVSS) attribue à cette faille une note de 8,1, indiquant un niveau de gravité élevé. L'exploitation ne requiert pas d'outils complexes ; les attaquants tentent simplement de se connecter avec des identifiants vierges, tirant parti de la mauvaise configuration pour obtenir un accès non autorisé.

Au-delà de ce problème spécifique lié à OpenSSH, la semaine a été marquée par plusieurs autres incidents de sécurité notables. Une version trojanisée du démon du serveur Control Web Panel, cwpsrv, a été distribuée pour livrer une porte dérobée furtive appelée CWPdoor. De plus, une vulnérabilité zero-day dans les commutateurs réseau Zyxel GS1900 a été exploitée pour compromettre près d'un millier d'appareils dans le monde, permettant aux attaquants de voler des identifiants et de déployer des rootkits.

Détails clés

• ID de la vulnérabilité : CVE-2026-123158, également connue sous le nom de SSHole.
• Systèmes affectés : Systèmes Linux utilisant OpenSSH avec la bibliothèque C musl et PAM désactivé, y compris les installations par défaut d'Alpine Linux.
• Impact : Permet la connexion à distance aux comptes utilisateurs qui n'ont pas de mot de passe défini.
• Gravité : Score CVSS de 8,1.
• Niveau d'activité : Vingt tentatives d'exploitation détectées depuis treize adresses IP uniques au 9 novembre 2026.
• Emplacements sources : Les tentatives provenaient du Danemark, de l'Iran, du Japon, des Pays-Bas, de la Norvège, de Singapour, de la Suède, de la Suisse et des États-Unis.

Contexte

OpenSSH est l'implémentation standard du protocole shell sécurisé utilisée par la plupart des systèmes d'exploitation Linux et de type Unix pour l'administration à distance. Il repose sur les bibliothèques système sous-jacentes pour les opérations cryptographiques et la gestion de l'authentification. La bibliothèque C musl est une bibliothèque C légère, rapide et conforme aux normes, souvent choisie pour les systèmes embarqués et les conteneurs en raison de son empreinte réduite. Alpine Linux, une distribution populaire pour les conteneurs Docker, utilise musl par défaut plutôt que glibc, plus courante.

Les modules d'authentification pluggables (PAM) fournissent un mécanisme flexible pour authentifier les utilisateurs. Lorsque PAM est activé, il gère des politiques d'authentification complexes, incluant la force du mot de passe et son expiration. Cependant, certaines configurations minimales désactivent PAM pour réduire les dépendances ou améliorer les performances. Dans ces cas, OpenSSH gère directement l'authentification. La vulnérabilité SSHole découle d'une erreur de logique dans ce chemin de traitement direct lors de l'interaction avec musl, où les chaînes de mot de passe vides ne sont pas correctement rejetées pour les comptes qui devraient nécessiter des identifiants.

Pourquoi c'est important

Pour les équipes gérant des infrastructures auto-hébergées, cette vulnérabilité met en lumière les risques associés aux configurations minimales ou par défaut. De nombreux développeurs choisissent Alpine Linux pour sa petite taille et sa réputation de sécurité, supposant que moins de composants signifient une surface d'attaque réduite. Cependant, cet incident démontre que les paramètres par défaut peuvent parfois introduire des faiblesses inattendues. Si vos serveurs utilisent Alpine ou d'autres distributions basées sur musl et possèdent des comptes utilisateurs sans mot de passe, ils sont immédiatement vulnérables à une prise de contrôle à distance.

L'exploitation active de cette faille signifie que les serveurs exposés sur Internet sont déjà scannés et ciblés. Contrairement aux vulnérabilités théoriques, SSHole est utilisée dans la nature dès maintenant. Pour les ingénieurs DevOps et les administrateurs système, cela nécessite une vérification immédiate des configurations des serveurs. Il ne suffit pas de simplement corriger le logiciel ; vous devez également vous assurer que les politiques d'authentification sont correctement appliquées, en particulier dans les environnements où PAM a été délibérément désactivé pour des raisons de simplicité ou de performance.

De plus, cet événement rappelle que l'hygiène de la chaîne d'approvisionnement et des configurations est cruciale. La même semaine a vu des attaques contre les mécanismes de mise à jour des suites de sécurité web et des équipements réseau. Se fier aux paramètres par défaut sans comprendre leurs implications en matière de sécurité peut laisser des failles que les attaquants exploitent rapidement. Les équipes doivent équilibrer la commodité des distributions légères avec le besoin de contrôles d'authentification robustes.

Que pouvez-vous faire

• Auditez tous les serveurs Linux exécutant OpenSSH pour identifier ceux qui utilisent la bibliothèque C musl, comme Alpine Linux.
• Vérifiez si les modules d'authentification pluggables (PAM) sont désactivés dans vos fichiers de configuration OpenSSH.
• Assurez-vous qu'aucun compte utilisateur sur les systèmes affectés n'est configuré avec des mots de passe vides ou blancs.
• Appliquez immédiatement les derniers correctifs de sécurité pour OpenSSH fournis par le éditeur de votre distribution.
• Surveillez les journaux d'accès pour détecter les tentatives de connexion échouées ou réussies provenant d'adresses IP inconnues, en particulier celles listées dans les rapports de menace récents.
• Envisagez d'activer PAM ou de passer à une distribution basée sur glibc si votre politique de sécurité exige une application stricte des mots de passe et que vous ne pouvez garantir que tous les comptes possèdent des identifiants forts.