El proyecto OpenSSH publicó una actualización urgente para cerrar una falla que permite iniciar sesión en ciertas cuentas sin conocer su contraseña. Afecta a algunos sistemas Linux, sobre todo los basados en Alpine, una distribución muy usada en contenedores y servidores en la nube.
Si administras servidores o usas imágenes de Docker basadas en Alpine, te conviene revisar hoy mismo cómo tienes configurado SSH.
¿Qué pasó?
El 5 de noviembre de 2026 salió OpenSSH 10.6p2. OpenSSH es el programa que permite conectarse de forma remota y segura a un servidor. Según sus notas de versión, esta entrega trae un arreglo crítico para sistemas Linux que usan musl, una biblioteca básica del sistema, y que tienen desactivado PAM, el módulo que normalmente gestiona los inicios de sesión.
El proyecto explica que la causa de fondo está fuera de OpenSSH, pero que la falla se podía aprovechar a través de su servidor, así que la bloquearon desde ahí. El problema lo reportó el investigador Özgün Kültekin, de la empresa Wakefield.
BleepingComputer detalla que la falla, apodada sshole, afecta a distribuciones con musl como Alpine Linux, OpenWrt, Buildroot y Yocto. Los sistemas con glibc, como Debian, Ubuntu o Fedora, y los que usan PAM no están en riesgo, según el medio.
¿Por qué te importa?
El ataque funciona cuando se juntan varias condiciones: el inicio de sesión con contraseña está activado, PAM está apagado, como ocurre por defecto en el paquete de servidor SSH de Alpine, y existe una cuenta marcada sin contraseña válida, por ejemplo una que solo debería entrar con llave. Al mandar una contraseña demasiado larga, la función que revisa contraseñas en musl falla de una forma que termina abriendo esa cuenta.
La falla no permite saltarse la contraseña de cuentas que sí tienen una válida. Aun así, BleepingComputer reporta que, según el investigador, algunas imágenes oficiales de Alpine para nubes como AWS y Azure traen una cuenta predeterminada que podría llevar a control total del equipo.
Muchos contenedores y dispositivos pequeños, como routers con OpenWrt, usan estas distribuciones, así que el alcance puede ser mayor de lo que parece.
¿Qué puedes hacer?
- Actualiza el paquete de OpenSSH con el gestor de paquetes de tu sistema; en Alpine es apk. Busca la versión 10.6p2 o la que tu distribución publique con el arreglo.
- Si solo entras con llaves SSH, desactiva el inicio de sesión con contraseña poniendo
PasswordAuthentication noen la configuración del servidor SSH y reinicia el servicio. - Revisa los registros del sistema en busca de inicios de sesión con contraseña que no reconozcas.
- Haz un inventario de tus contenedores, máquinas virtuales y routers que usen Alpine, OpenWrt u otra distribución con musl.
- Reconstruye tus imágenes de Docker basadas en Alpine para que tomen el paquete actualizado.
Sigue leyendo
- OpenSSH 10.6 cambia la compresión y los usuarios por seguridad
- Falla crítica en el kernel de Linux deja tomar servidores a distancia
Fuentes
- OpenSSH: Portable OpenSSH 10.6p2
- BleepingComputer: OpenSSH flaw lets attackers log into password-disabled Linux accounts
Imagen de portada: foto de Brett Sayles en Pexels.