SECUJUNSECURITY NEWS
OpenSSH CVE-2026-123158 실제 악용, Linux 비밀번호 인증 우회
CISA가 11월 9일 KEV에 추가했으며, Alpine의 특정 비-PAM 구성에서는 긴 비밀번호로 비밀번호 없는 계정에 로그인할 수 있다.
실제 악용 확인 · KEV 등재
원문 기반 한국어 요약
미국 CISA는 2026년 11월 9일 OpenSSH CVE-2026-123158을 실제 악용 취약점 목록(KEV)에 추가했다. 연방 민간기관의 조치 기한은 11월 12일이며 포렌식 선별 조사가 요구된다. CISA는 랜섬웨어 사용 여부를 ‘알 수 없음’으로 표시했다. [1]
취약점은 Linux에서 OpenSSH sshd가 PAM 없이 비밀번호를 검사하는 특정 구성에 적용된다. Alpine Linux는 PasswordAuthentication이 켜져 있고, 비밀번호 필드가 *인 계정과 $5$ 또는 $6$ 해시를 가진 다른 계정이 함께 존재할 때 공격자가 257~1024바이트 길이의 비밀번호를 보내 인증을 우회할 수 있다고 설명했다. [1][2]
Alpine Linux의 openssh-server 패키지 또는 openssh-server-pam을 UsePAM no로 쓰는 구성이 영향받는다. openssh-server-pam과 UsePAM yes, PasswordAuthentication no, 비밀번호 필드가 !인 잠긴 계정, sshd를 실행하지 않는 컨테이너는 Alpine 공지가 열거한 비영향 조건이다. [2]
OpenSSH 10.6p2가 문제를 수정했으며 Alpine은 3.16~3.24와 edge에 수정 패키지를 제공했다. Alpine 3.24의 수정 패키지는 10.3_p1-r2, 3.23은 10.2_p1-r1, 3.22는 10.0_p1-r11, 3.21은 9.9_p2-r1이다. 패키지 업데이트만으로 실행 중인 프로세스가 바뀌지 않으므로 sshd를 재시작해야 한다. [2]
즉시 업데이트할 수 없으면 기존 SSH 키 로그인을 확인한 뒤 PasswordAuthentication no를 적용하고 sshd를 재시작해야 한다. Alpine은 로그에서 비밀번호가 없는 계정에 대한 ‘Accepted password for’ 기록, doas 사용, 새 계정·파일·authorized_keys를 점검하고 침해를 배제할 수 없으면 시스템이 침해된 것으로 취급하도록 안내했다. [2]
근거: 아래 출처 [1] · [2] · 원문 전체 번역이 아닌 핵심 내용의 번역·요약
자료 확인 범위
CISA KEV 등재는 실제 악용 근거지만 공격 주체·피해 규모나 랜섬웨어 사용을 확정하지 않는다. Alpine의 상세 조건과 패키지 버전은 Alpine 배포판 기준이며 다른 Linux 배포판은 해당 배포판의 보안 공지를 따라야 한다.
출처 및 레퍼런스
- CISAKnown Exploited Vulnerabilities Catalog발표·갱신: 2026-11-09 · 확인: 2026-11-10
CVE-2026-123158의 실제 악용, KEV 추가일, 조치 기한, 포렌식 요구와 랜섬웨어 상태를 확인했다.
- Alpine LinuxSecurity advisory: openssh-server password authentication bypass발표·갱신: 2026-11-05 · 확인: 2026-11-10
취약 구성·계정·입력 조건, 비영향 조건, 수정 패키지, sshd 재시작과 침해 점검 절차를 확인했다.
이 게시물 작성에 직접 사용한 출처 전체입니다.