Una falla in OpenSSH su Linux con musl aggira l’autenticazione

Il 5 novembre 2026 il CSIRT Italia, il servizio dell’Agenzia per la cybersicurezza nazionale, ha pubblicato l’alert AL08/261105/CSIRT-ITA su una vulnerabilità di OpenSSH, il programma che permette di collegarsi a distanza ai server Linux. Il problema è identificato come CVE-2026-123158 e ha gravità “critica”. Riguarda alcune configurazioni di sistemi basati su musl libc, tra cui Alpine Linux. Secondo l’alert, un attaccante remoto senza credenziali potrebbe aggirare l’autenticazione e ottenere accesso non autorizzato. L’impatto sistemico è indicato come “alto” (71.53).

Chi è coinvolto

musl libc è una libreria standard del linguaggio C, cioè l’insieme di funzioni di base usate dai programmi, ed è un’alternativa alla più diffusa glibc. Secondo l’alert sono affette queste versioni:

• OpenSSH Portable, versioni precedenti alla 10.6p2, su sistemi Linux basati su musl libc con autenticazione PAM disabilitata (PAM è il modulo che gestisce la verifica degli accessi).
• Alpine Linux dalla 3.16 alla 3.24 e ramo edge, con i pacchetti OpenSSH seguenti:
• edge, versioni precedenti alla 10.6_p2-r0
• 3.24, versioni precedenti alla 10.3_p1-r2
• 3.23, versioni precedenti alla 10.2_p1-r1
• 3.22, versioni precedenti alla 10.0_p1-r11
• 3.21, versioni precedenti alla 9.9_p2-r1
• 3.20, versioni precedenti alla 9.7_p1-r6
• 3.19, versioni precedenti alla 9.6_p1-r3
• 3.18, versioni precedenti alla 9.3_p2-r4
• 3.17, versioni precedenti alla 9.1_p1-r7
• 3.16, versioni precedenti alla 9.0_p1-r6

Che rischio c’è

La funzione crypt() di musl libc, che serve a verificare le password, usa il carattere “*” per segnalare un errore quando la password supera i 256 byte. Lo stesso carattere indica, nel sistema, gli account per cui l’accesso con password è disabilitato. In questo caso OpenSSH potrebbe scambiare l’errore per una verifica riuscita.

Secondo l’alert, l’attaccante dovrebbe inviare richieste di autenticazione SSH con password di lunghezza compresa tra 257 e 1.024 byte. Se l’account usato ha privilegi elevati, o permette di ottenerli, potrebbe prendere il controllo completo del sistema.

Lo sfruttamento richiede condizioni precise: l’autenticazione SSH con password deve essere abilitata, deve esistere almeno un account con accesso via password disabilitato e un altro account con credenziali memorizzate come hash SHA-256 crypt o SHA-512 crypt. Un hash è una sequenza ottenuta da una password e usata per verificarla senza conservarla in chiaro.

Cosa fare

L’alert raccomanda di aggiornare tempestivamente OpenSSH alle versioni correttive dei rispettivi fornitori. Per Alpine Linux indica due passaggi:

1. aggiornare i pacchetti con il comando apk upgrade -U -a;
2. riavviare manualmente il servizio con rc-service sshd restart, perché l’aggiornamento non riavvia in automatico il processo in esecuzione.

Se l’aggiornamento non è possibile subito, il CSIRT Italia suggerisce misure temporanee:

• impostare PasswordAuthentication no nel file di configurazione, dopo aver verificato che l’accesso con chiave pubblica funzioni;
• impostare KbdInteractiveAuthentication no, dove l’autenticazione interattiva da tastiera non serve;
• limitare l’accesso SSH a indirizzi IP e reti autorizzati, valutando la disabilitazione del servizio se non è possibile proteggerlo adeguatamente.

L’alert raccomanda anche di controllare i log di autenticazione SSH, con attenzione agli accessi con password su account per cui questa modalità è disabilitata. Come precauzione generale, conviene verificare quali server dell’organizzazione usano Alpine Linux o musl libc e informare il proprio fornitore IT, se la gestione è affidata a terzi.

Fonte: alert AL08/261105/CSIRT-ITA del CSIRT Italia, Agenzia per la cybersicurezza nazionale, pubblicato il 5 novembre 2026 (impatto sistemico alto). Leggi l’alert originale.