OpenSSH修補sshhole高風險漏洞，AI代理協助找出十年潛在認證缺陷

遠端登入軟體OpenSSH釋出安全更新，修補高風險漏洞「*sshole」（CVE-2026-123158），該漏洞在CVSS評分中獲8.1分。報導指出，此漏洞主要影響採用musl底層元件的Alpine Linux等伺服器與容器，需同時滿足開啟SSH密碼登入、並存禁用密碼帳號與具密碼帳號等條件。當使用者輸入超過256位元組的密碼時，musl回傳代表錯誤的星號「*」，與系統中禁止密碼登入帳號的標記重合，導致OpenSSH誤判通過驗證。主流Linux發行版、Windows及Mac均不受影響。資安研究員透露，該存在約十年的漏洞是透過多個AI代理針對不同環境執行約17,600次異常登入嘗試而發現；OpenSSH團隊亦表示近期接獲大量AI協助分析的漏洞回報，已暫時加快更新頻率。

值得帶走的重點

• OpenSSH針對CVE-2026-123158漏洞發布更新，修補輸入超過256位元組密碼時因musl錯誤回傳星號引發的認證誤判問題。
• 漏洞影響主要限於使用musl元件且未啟用PAM驗證的Alpine Linux等環境，Ubuntu等主流發行版與一般電腦不受影響。
• 資安研究員運用多個AI代理針對不同系統環境執行約17,600次異常登入測試，成功找出這項存在約十年的潛在認證缺陷。
• 資安團隊與官方建議受影響系統應立即更新OpenSSH並重啟服務，或暫時關閉密碼登入改用金鑰，並更新相關容器與系統映像檔。