Vulnerabilidad CVE-2026-123158: acceso SSH sin contraseña

Vulnerabilidad CVE-2026-123158: el riesgo oculto en sistemas Linux

Un fallo de seguridad crítico ha sido identificado en diferentes distribuciones Linux. La vulnerabilidad CVE-2026-123158, conocida como *sshole, representa un riesgo significativo al permitir acceso SSH sin contraseña en determinadas configuraciones del sistema. Este descubrimiento pone de manifiesto cómo medidas de seguridad implementadas de forma aislada pueden interactuar de manera inesperada, creando brechas que comprometer la integridad de servidores y sistemas críticos.

El investigador Özgün Kültekin, originario de Wakefield, fue quien identificó este comportamiento anómalo en sistemas que ejecutan Alpine Linux combinado con OpenSSH y musl. La vulnerabilidad CVE-2026-123158 se confirmó especialmente en configuraciones que no utilizan PAM, un mecanismo estándar para gestionar autenticación. Tanto OpenSSH como Alpine Linux publicaron parches correctivos el 5 de noviembre para neutralizar esta amenaza.

¿Cómo funciona el bypass de autenticación SSH?

Para comprender cómo es posible obtener acceso SSH sin contraseña, es fundamental conocer los mecanismos involucrados. SSH es un protocolo ampliamente utilizado para administrar equipos remotamente de forma segura. OpenSSH, su implementación más común, permite autenticarse mediante contraseñas o claves criptográficas que verifican la identidad del usuario.

En sistemas Linux, el archivo /etc/shadow contiene datos para verificar contraseñas. Cuando este campo incluye un asterisco (*), la autenticación por contraseña ordinaria debería estar completamente bloqueada, permitiendo solo otros métodos como claves SSH. Sin embargo, la vulnerabilidad CVE-2026-123158 explotaba una condición lógica específica en esta validación.

El mecanismo detrás del fallo de seguridad

El problema surge cuando OpenSSH intenta verificar una contraseña para una cuenta que no debería aceptarlas. Al no encontrar los datos necesarios en esa cuenta, utiliza información de otra cuenta para efectuar la validación. Cuando la contraseña introducida tiene una longitud entre 257 y 1.024 bytes, la función de procesamiento en musl devuelve un asterisco para señalar error. Puesto que este mismo símbolo aparece en la cuenta protegida, el servidor interpreta ambos valores como coincidentes y permite el acceso, eliminando la necesidad de una contraseña válida.

Este comportamiento paradójico ejemplifica cómo una restricción diseñada para prevenir accesos no autorizados termina permitiendo exactamente lo que pretendía evitar.

Evolución histórica del problema: una década de vulnerabilidad

La raíz de la vulnerabilidad CVE-2026-123158 se remonta varios años atrás, con cambios sucesivos en diferentes componentes que interactuaron de forma imprevista. En 2012, musl modificó la manera de comunicar errores y estableció límites de longitud al procesar contraseñas para prevenir ataques de denegación de servicio. Cuatro años después, en 2016, OpenSSH implementó cambios para impedir que alguien descubriera usuarios existentes midiendo tiempos de respuesta de autenticación.

Posteriormente, en 2022, Alpine Linux ajustó la configuración de su cuenta de administrador para facilitar acceso mediante claves SSH. Cada una de estas soluciones abordaba problemas distintos y legítimos de seguridad. Desafortunadamente, cuando se combinaron en determinadas configuraciones específicas, generaron esta brecha de seguridad que permaneció oculta durante aproximadamente una década.

¿Qué sistemas están realmente en riesgo?

No todos los sistemas Linux enfrentan el mismo nivel de riesgo. La vulnerabilidad CVE-2026-123158 requiere que se cumplan simultáneamente varias condiciones específicas. Es necesario que OpenSSH funcione sin PAM, que acepte autenticación por contraseña, y que exista una cuenta con un asterisco en su campo de contraseña. Además, debe haber otra cuenta local activa con un hash de contraseña generado mediante SHA-256 o SHA-512.

Según analistas de Check Point, los sistemas que desactivan completamente la autenticación por contraseña están fuera del alcance de esta vulnerabilidad, al igual que aquellos que utilizan PAM para gestionar la autenticación. Aunque Alpine Linux es donde se confirmó principalmente, otras plataformas podrían ser vulnerables si reúnen estas condiciones específicas de configuración.

Riesgo en entornos cloud y servidores críticos

Las consecuencias potenciales son especialmente graves cuando la cuenta comprometida dispone de permisos elevados. Alpine ha documentado casos en imágenes oficiales utilizadas en ambientes cloud, donde el usuario alpine puede ejecutar comandos administrativos sin introducir contraseña. Aunque estas imágenes comienzan siendo seguras, pueden volverse vulnerables si posteriormente se configura una cuenta con un hash de contraseña compatible.

La firma Previdian ha reportado evidencia de intentos de explotación activos, detectando ocho intentos desde una misma dirección IP y confirmando un acceso exitoso con privilegios de administrador en uno de sus servidores señuelo. Esto demuestra que la vulnerabilidad CVE-2026-123158 no es puramente teórica, sino que está siendo explotada activamente en la naturaleza.

Soluciones y medidas de protección

La respuesta de los desarrolladores ha sido rápida y coordinada. OpenSSH lanzó la versión 10.6p2 el 5 de noviembre para corregir el fallo en profundidad. Alpine Linux distribuyó actualizaciones para múltiples ramas de su sistema, incluyendo versiones antiguas aún en soporte. Sin embargo, los responsables advierten que solo instalar los parches no es suficiente.

Pasos esenciales para la protección

Es obligatorio reiniciar el servicio SSH después de aplicar las actualizaciones para que utilice el código corregido. Para sistemas que aún no pueden actualizar, se recomienda desactivar la autenticación mediante contraseña como medida temporal. Esto debe ir acompañado de un reinicio del servicio SSH y una verificación previa de que el acceso mediante claves criptográficas funciona correctamente.

Los administradores de sistemas deben priorizar la aplicación de estos parches, especialmente en servidores con acceso a internet o información crítica. La vulnerabilidad CVE-2026-123158, aunque requiere configuraciones específicas, representa un riesgo material para organizaciones que utilicen Alpine Linux con OpenSSH en configuraciones estándar sin PAM.

Implicaciones de seguridad a largo plazo

Este incidente ilustra una lección importante sobre seguridad en sistemas: las medidas de protección deben ser evaluadas no solo de forma individual, sino considerando cómo interactúan entre sí. La combinación de cambios realizados durante una década en componentes diferentes demostró ser más peligrosa que cualquiera de ellos por separado.

La vulnerabilidad CVE-2026-123158 subraya la importancia de auditorías de seguridad regulares, pruebas de penetración, y de mantener canales efectivos de comunicación entre desarrolladores de diferentes proyectos de software libre para identificar interacciones inesperadas antes de que se conviertan en exploits reales.