O projeto OpenSSH publicou em 5 de novembro de 2026 a versão 10.6p2, classificada por ele como correção crítica, para uma falha que deixa um invasor entrar em contas sem senha de servidores Alpine Linux. A distribuição liberou pacotes corrigidos para todas as versões a partir da 3.16. Nenhum ataque que use a falha foi relatado até a publicação do aviso.
A origem está na forma como o servidor sshd confere a senha junto da musl, a biblioteca C sobre a qual o Alpine é construído. Segundo Damien Miller, do projeto OpenSSH, sistemas que não são Linux, distribuições baseadas na glibc e máquinas que verificam a senha pelo PAM ficam de fora. O pacote openssh-server do Alpine é compilado sem PAM e aceita login por senha por padrão.
Para explorar, o atacante precisa de acesso de rede ao servidor, do nome de uma conta sem senha e de uma senha entre 257 e 1.024 bytes. Pelo aviso do Alpine, a tentativa funciona em todas as vezes e com uma única conexão. Basta que outra conta local da máquina tenha senha definida para que todas as contas sem senha fiquem ao alcance.
As contas atingidas são justamente as que o administrador trata como mais seguras, as que só aceitam chave SSH. Entram nessa lista os usuários criados sem senha, as contas vindas de serviço de diretório e o próprio root, que o Alpine distribui sem senha desde a versão 3.16. O login direto como root depende de uma configuração que não vem ligada, proteção que perde efeito quando a conta invadida consegue elevar privilégio.
O alcance passa do Alpine. Özgün Kültekin, da Wakefield, que reportou a falha, cita OpenWrt, Buildroot e Yocto como outros sistemas baseados em musl a verificar. No OpenWrt o risco depende de o administrador ter instalado o servidor OpenSSH, porque o padrão da distribuição é o Dropbear, que não é afetado. As imagens de nuvem tiny-cloud da 3.18.11 à 3.24.3 dão ao usuário alpine o direito de virar root sem senha.
O Alpine lista quatro condições que precisam ser verdadeiras ao mesmo tempo para a máquina estar exposta: o pacote openssh-server compilado sem PAM, o login por senha habilitado, uma conta sem senha definida e ao menos uma outra conta local com senha. As versões 3.21.10, 3.22.8, 3.23.8 e 3.24.4 já trazem o pacote corrigido, e os ramos de 3.16 a 3.21, fora de suporte, também receberam pacote.
A orientação de Miller a quem administra um sistema afetado é desligar o login por senha ou suspender o acesso SSH de imediato, antes mesmo da atualização. No Alpine, atualizar o pacote não basta, porque o serviço em execução mantém o código antigo até ser reiniciado, então a correção só vale depois de reiniciar o sshd. Vale também levantar quais contas da frota não têm senha definida, já que é a combinação dessas contas com uma única conta comum que abre o caminho.
