OpenSSH: bypass dell’autenticazione con musl e senza PAM

Il 5 novembre 2026 il progetto OpenSSH ha pubblicato la versione 10.6p2, con un bollettino di sicurezza su una vulnerabilità che permette di aggirare l’autenticazione di un servizio SSH. Lo stesso giorno il CERT-FR (ANSSI) ha diffuso due documenti: l’avviso CERTFR-2026-AVI-1468 e il bollettino d’allerta CERTFR-2026-ALE-015. Entrambi indicano come colpite le versioni di OpenSSH precedenti alla 10.6p2 e classificano il rischio come aggiramento della politica di sicurezza.

Le due fonti di questo articolo sono entrambe del CERT-FR. L’avviso riporta solo le versioni colpite e il rimedio; le condizioni di sfruttamento, gli indicatori e la mitigazione vengono dal solo bollettino d’allerta. Nessuno dei due documenti riporta un identificativo CVE né dice se la vulnerabilità sia già sfruttata.

Le condizioni per lo sfruttamento

Secondo il bollettino d’allerta del CERT-FR, la vulnerabilità riguarda i sistemi Linux che soddisfano insieme queste condizioni:

• usano la libreria C standard musl;
• OpenSSH è compilato senza supporto PAM, oppure PAM è disattivato.

In questa configurazione un attaccante può collegarsi fornendo due password, la seconda di lunghezza strettamente superiore a 256 caratteri e inferiore a 1.024. Il CERT-FR scrive che, quando le condizioni sono riunite, lo sfruttamento è banale, e invita a verificare se i propri sistemi si trovano in una configurazione vulnerabile.

Il bollettino non descrive il difetto nel codice e non indica altre configurazioni colpite. Per i dettagli rimanda al bollettino di OpenSSH della versione 10.6p2 e alla pagina del ricercatore che ha scoperto la falla, chiamata «sshhole».

Indicatori di compromissione

Il ricercatore, riporta il CERT-FR, raccomanda di controllare la legittimità degli accessi di ogni account di sistema che in /etc/shadow ha un asterisco al posto della password (:*:, password disattivata). Il bollettino propone questo comando, da lanciare come root:

awk -F : '$2 == "*" {print $1}' /etc/shadow | xargs -r -I{} grep "Accepted password for {}" /var/log/messages

Il comando elenca gli account con la password disattivata e cerca nel registro /var/log/messages gli accessi con password riusciti a loro nome. Ogni risultato va verificato: è un accesso con password accettato su un account la cui password è disattivata. Se sui tuoi sistemi i messaggi di sshd finiscono in un altro registro, adatta il percorso del comando.

Impatto per le aziende europee e italiane

OpenSSH è lo strumento standard per l’amministrazione remota dei sistemi Linux, e il servizio SSH è spesso raggiungibile da Internet. La vulnerabilità però non riguarda ogni installazione: secondo il CERT-FR servono insieme la libreria musl e l’assenza o la disattivazione di PAM. Il primo passo è quindi l’inventario: quali sistemi hanno OpenSSH precedente alla 10.6p2, quali usano musl, come è configurato PAM e se l’autenticazione con password è accettata.

Un servizio SSH la cui autenticazione si può aggirare è un accesso diretto al sistema: va trattato con priorità, a partire dai server raggiungibili dall’esterno. Per i soggetti NIS2 il caso rientra nella gestione delle vulnerabilità e nel controllo degli accessi amministrativi previsti dalle misure di sicurezza; conviene documentare l’inventario fatto, le verifiche sui log e le decisioni prese per ogni sistema.

Cosa fare subito

1. Aggiorna OpenSSH alla versione 10.6p2, o al pacchetto della tua distribuzione che include la correzione, seguendo il bollettino di OpenSSH come indica il CERT-FR.
2. Verifica la configurazione dei sistemi che non puoi aggiornare subito: libreria C in uso (musl o un’altra), OpenSSH compilato con o senza PAM e valore effettivo della direttiva UsePAM, che si legge con sshd -T.
3. Se non puoi aggiornare, il CERT-FR raccomanda di disattivare l’autenticazione con password (in sshd_config, PasswordAuthentication no, poi ricarica il servizio) o, in mancanza, di disattivare il servizio SSH. Prima di togliere le password, assicurati che gli amministratori possano entrare con le chiavi, per non restare chiusi fuori.
4. Cerca tracce con il comando del bollettino e controlla, più in generale, gli accessi con password riusciti da indirizzi o in orari insoliti, soprattutto sugli account di sistema.

Come aiuta ARXDOME

ARX Sentry raccoglie dai server Linux l’inventario del software e i log degli accessi: aiuta a trovare le macchine con OpenSSH e a vederne la versione, e mostra nelle pagine delle identità gli accessi riusciti, quelli privilegiati e quelli notturni. ARX Expose e ARX Scout indicano quali indirizzi pubblici dell’azienda espongono un servizio SSH, cioè da dove cominciare con gli aggiornamenti e le verifiche.

Ultimo aggiornamento: 5 novembre 2026