Publié le 5 novembre 2026
Une faille de logique dans OpenSSH, compilé avec musl libc et sans PAM, permettrait, selon des informations relayées sur X, de contourner l’authentification par mot de passe et d’accéder à des comptes normalement verrouillés, dont root. Baptisée « SSHHole » et associée au CVE-2026-123158, elle illus
Paris, le 5 novembre 2026 — Une simple chaîne de plus de 256 caractères dans le champ « mot de passe » suffirait-elle à ouvrir une session SSH sur un serveur censé interdire les connexions par mot de passe ? C’est ce que suggèrent les éléments relayés sur le réseau social X au sujet d’une vulnérabilité surnommée « SSHHole ». Elle concernerait OpenSSH lorsqu’il est compilé avec musl libc — la bibliothèque C utilisée notamment par Alpine Linux, OpenWrt, Buildroot ou Yocto — et sans PAM. Les informations doivent encore être confirmées officiellement, mais le scénario technique est crédible et mérite une vérification urgente des parcs exposés à Internet.
Ce qui se passe Le mécanisme tient en trois étapes. Lorsqu’un utilisateur saisit un mot de passe très long, la fonction crypt() de musl libc ne parvient pas à le traiter et renvoie la chaîne littérale "*" comme indicateur d’erreur. Or, dans /etc/shadow, les comptes verrouillés ou interdits de connexion par mot de passe — comme root sur de nombreuses configurations — ont souvent leur champ de hash marqué par ce même caractère "*". OpenSSH comparerait alors le résultat de crypt() au hash stocké et conclurait à une correspondance. Résultat : l’authentification serait acceptée alors qu’elle devrait être refusée.
Le défaut n’est donc pas une « backdoor » classique, mais une erreur de logique : deux significations différentes — « erreur de calcul » et « compte verrouillé » — utilisent le même symbole. Dans un système d’authentification, cette ambiguïté peut devenir critique.
Qui est concerné ? Selon les éléments relayés, la faille existerait depuis 2016 dans certaines configurations. Seraient notamment concernés :
Alpine Linux, très utilisé dans les conteneurs Docker ;
OpenWrt, Buildroot et Yocto ;
des images cloud ou conteneurisées basées sur Alpine ;
les versions d’OpenSSH compilées avec musl libc et sans PAM.
Les comptes potentiellement exposés incluent root, les utilisateurs configurés en authentification par clé uniquement, certains comptes LDAP et les utilisateurs par défaut des images cloud. Les systèmes utilisant OpenSSH avec PAM ou une autre libc ne seraient pas concernés de la même manière.
Que faire maintenant ? La première mesure est de recenser les systèmes concernés : Alpine, OpenWrt, conteneurs, appliances et images cloud. La deuxième est de désactiver l’authentification par mot de passe dans sshd_config :
ini PasswordAuthentication no Cette configuration devrait déjà être la norme sur les serveurs exposés à Internet. Elle réduit fortement la surface d’attaque, même si elle ne remplace pas une mise à jour. La correction annoncée serait disponible dans OpenSSH 10.6p2 ; elle doit être vérifiée puis déployée en priorité sur les systèmes exposés. Les équipes peuvent aussi surveiller les journaux d’authentification, rechercher des tentatives avec des mots de passe anormalement longs et tester la correction dans un environnement isolé, jamais en production.
Comment se projeter À court terme, les organisations doivent traiter le sujet comme un incident de sécurité prioritaire : inventaire, correctif, désactivation des mots de passe SSH, rotation des accès sensibles et vérification des images de conteneurs. À moyen terme, il faudra intégrer à la chaîne CI/CD des contrôles sur les bibliothèques C utilisées, les options de compilation et la présence de PAM. À plus long terme, cet épisode rappelle une règle simple : ne jamais utiliser une valeur sentinelle ambiguë dans un mécanisme d’authentification. Les revues de dépendances, les tests de fuzzing et la surveillance des CVE doivent devenir des réflexes, en particulier pour les briques aussi sensibles qu’OpenSSH.
En attendant une confirmation officielle, la prudence reste de mise : il faut vérifier les sources, ne pas relayer de PoC en production et appliquer les mesures de réduction de risque sans attendre.