Обновите OpenSSH на Alpine — вход по SSH без знания пароля

Коротко. 5 ноября 2026 Alpine и OpenSSH сообщили о критической ошибке: на части Linux с библиотекой musl и без PAM (так собран обычный Alpine) злоумышленник с доступом к порту SSH может войти в некоторые учётки без знания пароля. Исправление есть; после установки пакета службу SSH нужно перезапустить. CVE пока не назначен.

Касается ли это вас.

• Да, если у вас (или у подрядчика) сервер / VPS на Alpine Linux, слушает SSH и разрешён вход по паролю.
• Скорее нет, если домашний ПК на Windows, Mac или обычном Ubuntu/Debian; или Alpine-контейнер без SSH-сервера внутри (типичный Docker-образ сайта сам по себе дыру не открывает).
• Не знаете — перешлите эту статью тому, кто ставил сервер или хостинг.

Чем грозит. Чужой может войти на сервер под учёткой без заданного пароля (часто так делают для входа только по ключу). На части облачных образов Alpine это может дать права администратора. Массовых подтверждённых взломов на 5 ноября 2026 вендоры не пишут — дыра уже публичная.

Что сделать в первую очередь.

1. Тому, кто ведёт сервер: пакет OpenSSH из обновлений Alpine от 5 ноября 2026 и перезапуск службы SSH (установка пакета демон сама не меняет).
2. Пока нет патча — выключите вход по паролю, оставьте ключ. Сначала проверьте ключ; текущую сессию не закрывайте, пока новый вход не сработает.
3. Если Alpine с парольным SSH давно в интернете — попросите проверить журналы на входы по паролю у учёток без пароля.

Что сделать во вторую очередь.

1. На серверах в интернет — только ключи, парольный SSH выключен.
2. «У нас Docker» само по себе не защита: важно, запущен ли SSH внутри и открыт ли наружу.

Если сразу не получается.

• Нет доступа — хостинг / тот, кто ставил (текст ниже).
• Боитесь потерять вход — сначала ключ, старую сессию держите открытой.
• Не ставьте «патчи» с форумов.

Готовый текст для того, кто ведёт сервер.

Здравствуйте! 05.11.2026 Alpine/OpenSSH: обход парольной проверки SSH на musl без PAM (типичный Alpine openssh-server). CVE пока нет. Нужно обновить openssh по таблице Alpine и обязательно перезапустить sshd; временно — PasswordAuthentication no. Бюллетень: https://alpinelinux.org/posts/2026-11-05-openssh-password-authentication-bypass/ · OpenSSH 10.6p2: https://www.openssh.org/txt/release-10.6p2 · Техническая версия: https://nevzlom.ru/ru/tech/2026-11-05-openssh-alpine/. Спасибо!

Версия для айтишника: https://nevzlom.ru/ru/tech/2026-11-05-openssh-alpine/

Источник. Alpine Linux Security advisory, 5 ноября 2026: https://alpinelinux.org/posts/2026-11-05-openssh-password-authentication-bypass/ · OpenSSH 10.6p2: https://www.openssh.org/txt/release-10.6p2