出来事の日付：2026年11月5日

OpenSSHは、一部の限られた、しかし重要なLinux構成に影響する深刻なパスワード認証の脆弱性に対し、緊急の回避策を盛り込んだバージョン10.6p2を公開した。プロジェクトのメンテナーによると、musl Cライブラリーと直接のパスワード認証を組み合わせ、Pluggable Authentication Modules（PAM）を使っていないシステムが影響を受ける。こうした構成を採用し得る代表的なOSとして、Alpine Linuxが挙げられた。

当面の対応についての勧告は、異例なほど明快だ。影響を受けるホストの管理者は、更新パッケージを導入するまで、`PasswordAuthentication=no`を設定するか、SSHによるアクセスを無効にする必要がある。この警告は、Linux以外のシステム、glibcを採用するLinuxディストリビューション、パスワードの検証をPAM経由で行うLinux環境には当てはまらない。鍵を使ったアクセス自体が脆弱な仕組みだとは説明されていないが、影響を受ける可能性のあるサーバーについては、パスワード認証の無効化が封じ込め措置として示されている。

OpenSSHのメンテナーであるダミアン・ミラー氏によると、根本的な欠陥はOpenSSHの外部にある。それでも同プロジェクトが緩和策を用意したのは、SSHの層で利用者を迅速に保護できる立場にあるためだ。この違いは修復を進めるうえで重要となる。OpenSSHの更新は実用的な防御策である一方、OSやライブラリーの開発陣も、認証回避を可能にした挙動に対処する必要があるかもしれない。

今回のリリースは、報告を受けてから短期間で準備された。ミラー氏は、チームが問題を知ったのは10.6p2の発表前日だったと述べた。また、自動化されたシステムが数時間以内にソフトウェアの欠陥を独自に再発見し得るため、同プロジェクトは現在、長期の情報公開猶予を危険とみなしていると説明した。そのため開発陣は、脆弱なシステムが危険に気づかないまま外部から接続可能な状態に置かれる時間を短くすることを狙い、迅速な公表と緩和策の提供を選んだ。

問題を報告したのはWakefieldのÖzgün Kültekin氏で、Alpine Linuxの開発者らは急きょ更新版を準備した。運用者は、バナーの変更や古いデーモンの再起動だけで回避策が適用されると考えず、自分のディストリビューションからパッケージを入手する必要がある。また、ディストリビューション名だけで影響の有無を推測せず、ホストのCライブラリーと認証の処理経路を確認すべきだ。

対象が限られていることを、深刻度が低いことと取り違えてはならない。インターネットに公開されたSSHサービスは管理用アクセスの主要な入口であり、認証回避によって、ロックされたアカウントに期待される保護が失われるおそれがある。影響を受ける組み合わせは主要なサーバー向けディストリビューション全体では少数かもしれないが、muslと最小限の認証機構を意図的に採用する軽量コンテナー、アプライアンス、クラウドイメージでは十分にあり得る構成だ。

構成の異なるシステムを混在運用する場合、最も安全な優先順位付けは設定に基づいて行うことだ。muslを使うLinuxホストを特定し、SSHのパスワード認証が有効かを調べ、その要求をPAMが処理しているかを確認する。影響を受ける三つの条件をすべて満たすシステムには、直ちに対処する必要がある。パッチの適用後も、導入済みのOpenSSHビルドとディストリビューションの注意情報から緩和策が含まれていることを明確に確認できるまでは、一時的な制限を維持すべきだ。