Une gestion de version détaillée se trouve à la fin de ce document.
Le 5 novembre 2026, OpenSSH a publié un avis de sécurité concernant une vulnérabilité qui permet à un attaquant de contourner l’authentification d'un service SSH. En effet, sur les systèmes Linux qui utilisent la bibliothèque standard C musl, compilés sans support PAM ou avec PAM désactivé, un attaquant peut se connecter en fournissant deux mots de passe, dont le deuxième est d'une longueur strictement supérieure à 256 caractères et inférieure à 1024.
Lorsque les conditions sont réunies, cette vulnérabilité est triviale à exploiter. Il convient donc de vérifier si le système est dans une configuration vulnérable.
Il est préférable de désactiver l'authentification par mot de passe ou, à défaut, de désactiver le service, si l'application du correctif est impossible.
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Bulletin de sécurité OpenSSH release-10.6p2 du 05 novembre 2026
Avis CERT-FR CERTFR-2026-AVI-1468 du 5 novembre 2026
