OpenSSH “sshole” CVE-2026-123158: Alpine Linux’ta Parolasız Hesaplara 257 Karakterlik Parolayla Giriş

Açık nedir? (OpenSSH password authentication bypass)

Linux'ta parolayla girişe kapalı hesapların /etc/shadow dosyasındaki parola alanında * işareti bulunur. Bu işaret "hiçbir parola eşleşmez" anlamına gelir. root hesabı, yalnız SSH anahtarıyla giriş yapan dağıtım kullanıcıları ve LDAP kullanıcıları çoğu zaman bu şekildedir. CVE-2026-123158, musl tabanlı sistemlerde bu hesaplara 256 bayttan uzun bir parolayla giriş yapılabilmesine yol açıyor.

Açığın puanı CVSS v3'e göre 8,1 (Yüksek). Puanın kritik seviyede olmamasının nedeni, saldırının birkaç koşulun aynı anda gerçekleşmesini gerektirmesi.

Neden oluyor? (Root cause)

Açık, üç ayrı tasarım kararının bir araya gelmesinden doğuyor:

1. OpenSSH'nin 2016 düzeltmesi: CVE-2016-6210 (zamanlama farkından kullanıcı adı tespiti) kapatılırken, geçerli parola özeti olmayan hesaplarda da parola hesaplaması yapılması için sshd başka bir hesabın tuzunu (salt) ödünç almaya başladı. Sonuç, kayıtlı alanla karşılaştırılıyor.
2. musl'un parola sınırı: musl'un crypt() işlevi 2012'den beri SHA-256 ve SHA-512 için 256 bayttan uzun parolaları reddediyor.
3. Hata dönüş değeri: musl, başarısızlıkta boş değer yerine * döndürüyor.

Böylece 257 bayt ve üzeri bir parola gönderildiğinde hesaplanan değer * oluyor, kayıtlı alan da * olduğu için sshd girişi kabul ediyor. Araştırmacının laboratuvar testlerine göre bağlantıdaki ilk parola denemesi başarısız olmalı, uzun parola sonraki denemede gönderildiğinde giriş gerçekleşiyor. Kültekin, farklı sshd derlemelerinde yaklaşık 17.600 alışılmadık giriş denemesi yaptı; yalnız PAM'sız musl derlemesi reddetmesi gereken girişleri kabul etti.

Hangi sistemler etkileniyor? (Affected systems)

Açığın kullanılabilmesi için şu koşulların hepsi gerekiyor:

• musl libc ile çalışan, güncellenmemiş sshd (Alpine'ın varsayılan openssh-server paketi PAM'sız derlenir)
• Parola ile girişin açık olması (PasswordAuthentication yes, OpenSSH varsayılanı)
• SSH ile girişe izinli, parola alanı yalnız * olan bir hesap
• Aynı sistemde gerçek parola özeti olan en az bir başka hesap (tuz kaynağı)
• Hedef root ise ayrıca PermitRootLogin yes

Alpine 3.16'dan bu yana root hesabı * ile geliyor, ancak varsayılan PermitRootLogin ayarı doğrudan root girişini engelliyor. Asıl risk, şifresiz doas yetkisi olan kullanıcı hesapları; bu hesaplar üzerinden root'a geçmek mümkün. Araştırmacı OpenWrt, Buildroot, Yocto ve pek çok Docker imajını da musl tabanlı sistemler arasında sayıyor.

Etkilenmeyenler: glibc kullanan dağıtımlar (Debian, Ubuntu, Fedora, RHEL ve türevleri), PAM ile parola doğrulayan kurulumlar (UsePAM yes), Dropbear ve OpenBSD.

Saldırı görüldü mü? (Exploitation status)

Help Net Security'nin aktardığına göre tehdit istihbaratı firması Previdian, açığın yayımlanmasından dokuz saat sonra ilk saldırı denemesini gördü ve Alpine çalıştıran bir tuzak sunucuda (honeypot) root erişiminin elde edildiğini doğruladı. Saldırgan uzun parolalarla giriş yapıp id, uname ve hostname komutlarını çalıştırdı. StepSecurity ise 6 Kasım itibarıyla bağımsız olarak doğrulanmış bir saldırı bulunmadığını belirtiyor. CISA açığı henüz bilinen istismar edilmiş açıklar listesine (KEV) eklemedi. GitHub'da kavram kanıtı kodlar dolaşıyor; Previdian bunların doğrulanmadığını ve zararlı yazılım içerebileceğini hatırlatıyor.

Düzeltilmiş sürümler (Fixed versions)

Alpine düzeltmeyi sürüm numarasını değiştirmeden paket revizyonuyla yaptığı için sshd -V çıktısına güvenmeyin; paket sürümüne bakın.

Sunucu yöneticisi ne yapmalı? (What to do)

# 1) Kurulu paketi kontrol edin
apk info -v openssh-server

# 2) Güncelleyin ve sshd'yi yeniden başlatın
apk update && apk upgrade openssh-server
rc-service sshd restart

# 3) Hemen güncelleyemiyorsanız parola girişini kapatın
#    /etc/ssh/sshd_config
PasswordAuthentication no

# 4) Parolası olmayan hesaplarda başarılı parola girişini arayın
grep "Accepted password for" /var/log/messages

• Paketi kurmak çalışan sshd'yi değiştirmez; eski süreç yeniden başlatılana kadar açık kalır.
• Parola girişini kapatmadan önce anahtarla girişin çalıştığını yeni bir oturumda deneyin, mevcut oturumu kapatmayın.
• 5 Kasım'dan önce derlenmiş Alpine tabanlı imajları, CI önbelleğindeki katmanları ve iç kayıt defterindeki kopyaları güncel depodan yeniden derleyin.
• Günlüklerde alpine, root ya da yalnız anahtarla giren bir hesap için "Accepted password" satırı görürseniz doas kullanımını, yeni açılan kullanıcıları ve authorized_keys dosyalarını inceleyin. İhlal dışlanamıyorsa sunucuyu ele geçirilmiş kabul edin.

OpenSSH'nin son büyük sürümündeki değişiklikler için OpenSSH 10.6 rehberimize bakabilirsiniz. Sunucularda SSH girişini yalnız anahtarla yapmak, bu tür parola açıklarına karşı en basit savunmadır; Alesta WEB'in sunucu kurulum önerilerinde de ilk madde budur.

Sık sorulan sorular

Ubuntu sunucum etkileniyor mu?

Hayır. Ubuntu glibc kullanır ve OpenSSH'yi PAM ile çalıştırır. Ancak sunucuda Alpine tabanlı ve içinde sshd çalışan bir konteyner varsa o konteyner etkilenebilir.

Docker konteynerlerim risk altında mı?

Çoğu konteynerde sshd çalışmaz, bu durumda risk yoktur. Alpine tabanlı ve SSH sunucusu çalıştıran konteynerler güncellenmeli ve yeniden derlenmelidir.

Neden 257 karakter?

musl'un parola özeti işlevi 256 bayta kadar olan parolaları normal işler. 257. bayttan itibaren hata verir ve hata değeri, parolasız hesabın kayıtlı değeriyle aynıdır.

Yalnız anahtarla giriş kullanıyorsam güvende miyim?

PasswordAuthentication no ayarı açıksa evet, bu açık sizi etkilemez. Yine de paketi güncellemeniz önerilir.

İlgili sayfalar: Web hosting · Web yazılım hizmetleri · APT CVE-2026-109518 · İletişim

Kapak fotoğrafı: Holly Hudson / Wikimedia Commons (CC BY 2.0)