OpenSSH 10.6p2、認証バイパスの脆弱性に緊急対応
原題: OpenSSH 10.6p2 Critical workaround for alpine without PAM
なぜ重要か
AIによる脆弱性発見の加速がOSSプロジェクトのリリースサイクルそのものを変えつつある事実は、セキュリティ運用全体に影響する。
OpenSSHプロジェクトは2026年11月5日、Portable OpenSSH 10.6p2をリリースした。PAMを無効にしたLinuxシステム（主にmusl libcを使用する環境）でパスワード認証がバイパスされる可能性がある脆弱性に対処するもので、Critical（重大）と位置付けられたセキュリティワークアラウンドを含む。報告者はwakefield.coのÖzgün Kültekin氏。
OpenSSHチームは10.6p2において、PAMサポートを無効にしてビルド・実行された一部のLinuxシステムでsshd経由でのパスワード認証バイパスが可能になる問題を修正した。チームは「バグの根本原因はsshdの外部にある」としつつも、sshdを経由して悪用可能であるため同所での回避策を実装したと説明している。
リリースノートで注目すべきは、今回のリリース頻度に関するOpenSSHチームの声明だ。チームはAIモデルまたはAI支援によるセキュリティバグ報告が急増していると明かし、「AIツールが発見したバグをその後別の研究者が独立して発見するケースが複数確認されている。これはOSSプロジェクトにバグを報告しない攻撃者もこれらのバグを発見できる可能性が高いことを示唆している」と警告。この状況を受け、次回計画リリースまでバッチ処理するのではなく、より頻繁にリリースしてバグ修正をユーザーに迅速に届ける方針を当面採ると発表した。
セキュリティ修正以外では、ポスト量子ハイブリッド署名方式ssh-mldsa44-ed25519をCA署名アルゴリズムとして有効化、ChannelTimeout使用時に発生していた1秒未満のCPUスピン問題の修正なども含まれる。
将来の廃止予告も示されており、scp(1)の-Rフラグ（リモートホスト上でscpを実行するリモート間コピー）が10.6から非推奨警告を出すようになった。また、ファイルディスクリプタの受け渡しを許可せずPTY割り当てにroot権限が必要なプラットフォーム（SCO OpenServer 5やQNX 6など）のサポートを将来のリリースで削除するとしている。