Sicherheitswarnungen · 5. November 2026
OpenSSH auf Alpine Linux: Überlanges Passwort öffnet Konten ohne Passwort, auch root
Auf Alpine Linux und ähnlichen Systemen nimmt OpenSSH bei Konten ohne gesetztes Passwort ein sehr langes Fantasie-Passwort an. Angreifer nutzen das bereits. Abhilfe: OpenSSH 10.6p2 bzw. Paket-Update.
Worum es geht
OpenSSH (Alpine Linux und andere musl-Systeme)
OpenSSH ist das Standardprogramm für die Fernanmeldung an Linux-Servern. Auf Systemen, die statt der üblichen glibc die kleinere Systembibliothek musl verwenden und Passwörter ohne PAM prüfen, steckt ein Fehler in der Passwortprüfung. Das betrifft vor allem Alpine Linux, das häufig in Containern, Cloud-Servern und kleinen Appliances läuft. Konten, die bewusst kein Passwort haben (in Alpine etwa root), lassen sich mit einem überlangen, beliebigen Passwort öffnen.
Voraussetzung ist, dass die Passwort-Anmeldung per SSH erlaubt ist. Das ist bei Alpine die Voreinstellung. Ein Angreifer braucht weder Zugangsdaten noch Schlüssel und erhält im ungünstigsten Fall sofort Administratorrechte (root). Debian, Ubuntu, Red Hat und andere glibc-Systeme sind laut den Forschern nicht betroffen, ebenso Systeme mit Dropbear statt OpenSSH, etwa die meisten OpenWrt-Router in der Grundeinstellung.
OpenSSH hat am 5. November die Version 10.6p2 veröffentlicht und stuft den Fehler selbst als kritisch ein. Im CVE-Eintrag steht ein CVSS-Wert von 8,1. Die Sicherheitsfirma Previdian hat weniger als neun Stunden nach der Veröffentlichung erste Angriffe beobachtet, bei denen ein Testsystem mit Alpine vollständig übernommen wurde.
Betroffen
- OpenSSH vor 10.6p2 auf Linux mit musl und ohne PAM, vor allem Alpine Linux (Versionen 3.16 bis 3.24 und edge)
- Container-Images und Geräte auf Basis von Alpine, OpenWrt, Buildroot oder Yocto, wenn darin OpenSSH mit Passwort-Anmeldung läuft
Behoben
- OpenSSH 10.6p2; Alpine 3.21.10, 3.22.8, 3.23.8 und 3.24.4 bzw. die aktualisierten openssh-Pakete ab Alpine 3.16
Was jetzt zu tun ist
Die nächsten Schritte.
- 01
Alle Server, virtuellen Maschinen und Container mit Alpine Linux oder anderen musl-Systemen erfassen, auf denen ein SSH-Dienst läuft.
- 02
Dort die Pakete aktualisieren und den SSH-Dienst danach neu starten, weil der laufende Dienst sonst die alte Version weiterverwendet.
- 03
Wo kein Update möglich ist, die Passwort-Anmeldung per SSH abschalten (PasswordAuthentication no) und nur noch Schlüssel zulassen, vorher in einer zweiten Sitzung prüfen, dass der Schlüssel funktioniert.
- 04
SSH-Zugänge nicht offen ins Internet stellen, sondern nur über VPN oder von festen Adressen aus erlauben.
- 05
In den Anmeldeprotokollen nach erfolgreichen Passwort-Anmeldungen an Konten ohne Passwort suchen und ein betroffenes System im Zweifel als übernommen behandeln und neu aufsetzen.
Unterstützung
Unsicher, ob Sie betroffen sind?
Wir prüfen Ihre Systeme, spielen die Updates ein und suchen nach Spuren eines Angriffs. Sie bekommen eine klare Antwort: betroffen oder nicht. Betreuungskunden müssen nichts tun, wir kümmern uns bereits darum.
Veröffentlicht am 5. November 2026. Grundlage: Help Net Security · The Hacker News · SecurityWeek · Alpine Linux. Von uns in eigenen Worten zusammengefasst; verbindlich sind die Hinweise des Herstellers. Alle Sicherheitswarnungen
Passend dazu