Le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR), rattaché à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), a publié le 5 novembre 2026 une alerte sur une vulnérabilité d’OpenSSH permettant, dans certaines configurations Linux, de contourner l’authentification du service SSH. L’éditeur a diffusé le même jour la version 10.6p2 pour corriger le problème.
Une faille limitée à des configurations précises
Le risque concerne les systèmes Linux utilisant la bibliothèque C musl lorsque le service OpenSSH a été compilé sans prise en charge de PAM, ou lorsque PAM est désactivé. Dans ces conditions, le CERT-FR décrit un contournement de l’authentification par mot de passe. Il précise que l’exploitation est simple lorsque les conditions techniques sont réunies.
Le périmètre ne doit donc pas être confondu avec l’ensemble des installations OpenSSH. La priorité pour les responsables de systèmes d’information est de recenser les versions et les paramètres de compilation et d’authentification réellement déployés, notamment sur les serveurs accessibles à distance.
Correctif et contrôle des accès
Dans les notes de publication d’OpenSSH 10.6p2, l’équipe du projet confirme la correction du contournement et précise que le défaut trouve son origine hors du démon SSH, tout en pouvant être exploité à travers celui-ci. Le bulletin français vise les versions antérieures à 10.6p2 et renvoie aux correctifs de l’éditeur.
Si le correctif ne peut pas être installé immédiatement, le CERT-FR recommande de désactiver l’authentification par mot de passe ou, à défaut, le service concerné. Il invite également à examiner la légitimité des connexions enregistrées pour les comptes système dont le mot de passe est désactivé dans le fichier de configuration des comptes.
Cette alerte constitue un point de vigilance pour les équipes d’exploitation et de cybersécurité qui administrent des infrastructures Linux. Le bulletin d’avis CERTFR-2026-AVI-1468 accompagne l’alerte et permet de suivre les informations techniques publiées par le centre national.
