OpenSSH Portable 10.6p2, שפורסם ב־5 בנובמבר 2026, כולל פתרון מניעתי קריטי לכשל באימות סיסמאות בתצורות Linux מסוימות המבוססות על musl וללא PAM. צוות OpenSSH מציין שמקור התקלה נמצא מחוץ ל־sshd. הודעת הגרסה הרשמית.
השאלה המעשית אינה רק “האם אני משתמש במפתח SSH?”, אלא “אילו שיטות כניסה השרת מאפשר בפועל לחשבון הזה?”. כך אפשר להפוך את הדיווח לבדיקה מסודרת.
צפו בסרטון ההסבר
קריינות באנגלית, עם כתוביות על המסך. לצפייה ב־YouTube.
מה השתבש
שגיאה בגיבוב סיסמה עלולה להחזיר *, התואם לסימון השמור בחשבון המושפע. בדיקת הכניסה עלולה לפרש את השגיאה כהצלחה. זהו כשל באימות, לא בהצפנת SSH. Alpine.
התיקון ב־OpenSSH דוחה ערכי סיסמה קצרים מכדי להיות גיבוב תקין, ושומר עותק נפרד של נתוני הסיסמה. השינויים מונעים את ההשוואה הלא בטוחה ב־sshd. ההבחנה החשובה היא בין שתי מחרוזות זהות לבין חישוב סיסמה תקין שהצליח.
התנאים קובעים
Alpine מפרטת תנאים מצטברים: PAM אינו בשימוש, אימות בסיסמה פעיל, שדה הסיסמה של חשבון היעד מכיל בדיוק *, ולחשבון מקומי אחר יש גיבוב מסוג $5$ או $6$. הסימון * שונה מחשבון נעול עם !. התקינו חבילה מתוקנת בענף שלכם והפעילו מחדש את sshd. התצורות המושפעות והחבילות המתוקנות.
בדקו את ההגדרות האפקטיביות, כולל כללי Match. ההגדרה PermitRootLogin prohibit-password חוסמת כניסה ישירה ל־root בסיסמה, אך אינה מסירה הרשאות מחשבון אחר. כלל תואם יכול לשנות את PasswordAuthentication. שימוש במפתחות אינו משבית שיטת סיסמה שנשארה מותרת. גם דרישה לשיטות אימות נוספות משנה את התמונה. מדריך התצורה של OpenSSH.
רשימת בדיקות בטוחה למנהלי מערכת
- זהו את המערכות שבאחריותכם. רשמו לכל שרת בעל אחריות, ענף מערכת הפעלה וגרסת חבילה. כללו גם את תהליך בניית תמונות המערכת, כדי שמכונה חלופית לא תחזיר בלי משים פריסה ישנה.
- שמרו דרך התאוששות. שמרו גיבוי של התצורה ובדקו את השינויים לפני הפעלת השירות מחדש. Ubuntu מזהירה ששגיאת תצורה עלולה לחסום גישה לשרת מרוחק. הנחיות Ubuntu לשינוי תצורה בטוח.
- אמתו את התצורה הרלוונטית. המצב
sshd -tבודק את תקינות התצורה. השתמשו ב־-Tעם-Cופרטי חיבור מייצגים כדי לבדוק את כלליMatchהחלים עליהם. הבדיקות אינן מוכיחות שהשירות הפועל טען קובץ הרצה מעודכן. אפשרויות הבדיקה של sshd. - השלימו את הבדיקה. תעדו את העדכון ואת הפעלת השירות מחדש, ואז ודאו שכניסה מורשית חדשה ופעולה שגרתית מצליחות. הקצו בעל אחריות לכל חריג פתוח. אל תכללו גיבובי סיסמאות, מפתחות פרטיים או פרטי גישה בכרטיסי טיפול ובצילומי מסך.
זו סקירת מקורות שפורסמו, לא בדיקה של השרת שלכם או קביעה שהוא נפרץ. הדיווח המקורי באתר SSHHole מציג את המחקר. השתמשו בהודעת ההפצה שלכם לבחירת החבילה ודרך הפעלת השירות המתאימות.