Le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR), rattaché à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), a publié le 5 novembre 2026 une alerte concernant un contournement de l’authentification dans OpenSSH. Sa mise à jour du 6 novembre identifie la vulnérabilité sous la référence CVE-2026-123158.
Le risque concerne certaines installations Linux utilisant la bibliothèque C musl, lorsque le service est compilé sans prise en charge de PAM ou que cette fonction est désactivée. L’alerte officielle CERTFR-2026-ALE-015 détaille les conditions d’exposition et les mesures de correction.
Une faille liée à des configurations précises
Selon le CERT-FR, un attaquant peut contourner l’authentification SSH sur les systèmes concernés en présentant une séquence particulière de mots de passe. Le bulletin qualifie l’exploitation de triviale lorsque les conditions techniques sont réunies. Il serait toutefois inexact de considérer tous les serveurs OpenSSH ou toutes les distributions Linux comme vulnérables : la configuration de la bibliothèque système et de l’authentification est déterminante.
Les versions d’OpenSSH antérieures à 10.6p2 sont visées. La publication de la version 10.6p2 par OpenSSH et le bulletin de sécurité Alpine Linux constituent les références techniques mentionnées par l’autorité française.
Correctif et redémarrage du service SSH
Le CERT-FR demande aux administrateurs de vérifier les configurations exposées et d’appliquer les correctifs de l’éditeur. Il insiste sur une étape opérationnelle : tout correctif ou changement de configuration doit être suivi d’un redémarrage du service sshd pour être effectivement pris en compte.
Lorsque la correction immédiate est impossible, l’autorité recommande de désactiver l’authentification par mot de passe ou, à défaut, le service concerné. Ces mesures doivent être adaptées aux contraintes d’exploitation afin de préserver l’accès légitime aux équipements.
Pour les responsables de systèmes d’information, l’enjeu est d’inventorier les services SSH accessibles, de distinguer les configurations effectivement vulnérables et de vérifier l’application du correctif. L’alerte du CERT-FR ne fournit pas, à elle seule, de bilan de compromissions attribuées à cette vulnérabilité.
