Dipublikasikan pada 6 November 2026, artikel ini membahas kerentanan autentikasi SSHole (CVE-2026-123158) dengan tingkat kerentanan Critical (CVSS 8.1). Kerentanan memungkinkan attacker masuk ke akun tertentu melalui SSH tanpa mengetahui kata sandi yang benar.

1. Adanya celah string misinterpretation pada daemon sshd saat memvalidasi kata sandi melalui fungsi crypt() pada musl libc.
2. ​Attacker menyerang locked/disabled account (berisi * pada shadow file) dengan mengirimkan string arbitrer sepanjang 257 hingga 1.024 karakter.

Server OpenSSH (sshd) pada distribusi Linux berbasis musl libc tanpa LinuxPAM (​Pluggable Authentication Modules), terutama Alpine Linux 3.16–3.24.

Prasyarat Environment: Serangan mutlak membutuhkan ketiga kondisi berikut secara bersamaan:

1. PasswordAuthentication yes (Aktif)
2. UsePAM no (Nonaktif)
3. Terdapat minimal satu local account lain yang memiliki password hash berawalan $5$ (SHA-256) atau $6$ (SHA-512).

1. Segera terapkan pembaruan (update) dari distribusi OS yang memuat perbaikan backported untuk SSHole, atau lakukan upgrade langsung ke OpenSSH 10.6p2.
2. Setelah patching, wajib melakukan restart service pada sshd (systemctl restart sshd) untuk menghentikan daemon instance yang masih rentan.
3. ​Workaround Alternatif (Jika patching/Pluggable Authentication Modules tidak memungkinkan):
   •⁠  ⁠​Nonaktifkan password-based authentication sepenuhnya dengan menyetel "PasswordAuthentication no" pada sshd_config.
   •⁠  ⁠​Wajibkan penggunaan Public Key Infrastructure (PKI) atau SSH Key-based authentication.