Schwachstelle in OpenSSH gefährdet Linux-Instanzen

Das BSI veröffentlichte am 6. November 2026 einen BSI-IT-Sicherheitshinweis zur Schwachstelle CVE-2026-123158 (EUVD-2026-117552), auch als sshole bezeichnet. CVE-2026-123158 mit einem CVSS-Score von 8.1/10 ermöglicht Angreifenden unter bestimmten Voraussetzungen eine Umgehung der SSH-Passwortauthentifizierung. Angreifende können sich durch Übermittlung eines überlangen Passworts und ohne Kenntnis der eigentlichen Credentials an einem verwundbaren System anmelden.

Unter der Linux-Distribution Alpine sind die Voraussetzungen für die Ausnutzung der Schwachstelle standardmäßig erfüllt. Sie wird vor allem in Cloud-Images und Containern eingesetzt.

Mit der OpenSSH-Version 10.6p2 schließt das Entwickler-Team die Lücke.

Empfehlungen

• Installieren Sie umgehend die OpenSSH-Version 10.6p2.

• Wenn Sie zeitnah keine abgesicherte OpenSSH-Version installieren können, deaktivieren Sie die Anmeldung über Benutzernamen und Passwort in der Konfiguration von OpenSSH. So erfolgt die Anmeldung ausschließlich über SSH-Schlüssel.

Weitere Informationen

• IT-Sicherheitshinweis des BSI
• Warnmeldung auf GitHub (engl.)
• Schwachstellenmeldung des BSI
• Schwachstellenmeldung der ENISA (engl.)
• Bericht von Heise