OpenSSH 10.6p2 : correctif critique pour Alpine Linux
Original : OpenSSH 10.6p2 Critical workaround for alpine without PAM
Pourquoi c'est important
Une faille d'authentification SSH touche potentiellement tous les déploiements Alpine sans PAM.
OpenSSH 10.6p2, publié le 5 novembre 2026, corrige une faille critique permettant de contourner l'authentification par mot de passe sur les systèmes Linux utilisant musl libc sans PAM. Signalé par Özgün Kültekin de Wakefield.
OpenSSH a publié la version 10.6p2 en urgence, en dehors de son cycle habituel de livraisons. La raison : une faille de sécurité permettant de bypasser l'authentification par mot de passe sur certains systèmes Linux compilés et exécutés sans support PAM — notamment les distributions Alpine Linux qui reposent sur musl libc. L'équipe précise que la cause racine du bug se situe hors de sshd, mais que celui-ci reste exploitable via le daemon SSH. Le bug a été signalé par Özgün Kültekin de Wakefield (wakefield.co).
Cette version marque aussi un changement de politique : face à la multiplication des rapports de sécurité assistés par IA — dont certains bugs identifiés par des outils automatisés sont redécouverts indépendamment par d'autres chercheurs — l'équipe OpenSSH opte désormais pour des publications plus fréquentes plutôt que de regrouper les correctifs. Parmi les autres changements : activation du schéma de signature post-quantique ssh-mldsa44-ed25519, correction d'un spin CPU inférieur à une seconde lié à ChannelTimeout, et début de dépréciation du flag -R de scp(1).