> ## Content Index > Fetch the complete content index at: https://fomoera.com/llms.txt > Use this file to discover other available public pages before exploring further. # OpenSSH corrige una falla que permite entrar a ciertas cuentas de Alpine Linux - URL: https://fomoera.com/openssh-falla-acceso-alpine-linux/ - Published: 2026-11-06T10:40:00.000Z - Updated: 2026-11-06T10:40:00.000Z - Description: La vulnerabilidad afecta a servidores con una combinación específica de ajustes. Alpine distribuyó parches para varias versiones, pero pide reiniciar el servicio después de instalarlos. - Author: Patricia Rodriguez - Tags: Tecnología y Ciencia, Ciberseguridad OpenSSH publicó una corrección para una falla que puede permitir el acceso remoto a ciertas cuentas de Alpine Linux sin conocer una contraseña. El riesgo aparece cuando coinciden varios ajustes del servidor y de sus cuentas. Alpine distribuyó paquetes corregidos y advirtió que instalarlos no basta: también hay que reiniciar el servicio SSH para que el cambio entre en funcionamiento. El problema afecta a `sshd`, el componente que acepta conexiones SSH para administrar equipos a distancia. El 5 de noviembre de 2026, OpenSSH lanzó la versión **10.6p2** con una medida para impedir la evasión de autenticación en los sistemas afectados. Alpine publicó sus propios paquetes corregidos para distintas ramas, incluidas algunas antiguas. La base de avisos de seguridad de GitHub identifica el caso como **CVE-2026-123158** y muestra una puntuación de 8.1 sobre 10, de severidad alta. Su registro figura como no revisado por GitHub. El aviso inicial de Alpine indicaba que aún no se había asignado un identificador cuando se redactó. ## Una cuenta con acceso por clave puede quedar expuesta El fallo no afecta a todas las instalaciones de OpenSSH. Según Alpine, se necesitan un servidor con su paquete `openssh-server` sin PAM, o con PAM desactivado; el acceso mediante contraseña habilitado; una cuenta cuyo campo de contraseña indique que no tiene una establecida; y al menos otra cuenta local con una contraseña almacenada en uno de los formatos señalados por el proyecto. Además, quien intente entrar debe poder alcanzar el servicio por la red. PAM es una interfaz que los sistemas pueden usar para gestionar la autenticación. En sus pruebas, la firma de seguridad Check Point encontró una condición adicional: la otra cuenta local con contraseña debía estar activa. La existencia de un valor almacenado, por sí sola, no bastaba en sus ensayos. La distinción importa para quienes usan claves SSH. Una cuenta puede estar prevista para entrar mediante clave y no tener contraseña propia, pero el servidor seguir aceptando intentos por contraseña. Si se cumplen las demás condiciones, esa combinación puede dejar expuesta la cuenta. El problema surge de cómo OpenSSH interpreta una respuesta de la biblioteca musl al verificar determinadas contraseñas muy largas. La exposición tampoco alcanza a cualquier contenedor basado en Alpine: el proyecto aclara que los contenedores que no ejecutan `sshd` no están afectados por esta vía. Los sistemas con autenticación por contraseña deshabilitada o que usan PAM para esas comprobaciones tampoco reúnen la configuración descrita en su aviso. ## El alcance en la nube depende de la configuración Alpine revisó las versiones de la distribución desde la rama 3.16 hasta la 3.24, además de la rama de desarrollo *edge*. Todas las que examinó estaban afectadas antes de recibir la corrección si cumplían los requisitos de configuración. Entre los ejemplos de riesgo, el proyecto mencionó algunas imágenes oficiales de nube creadas con **tiny-cloud**. Estas incluyen una cuenta que, en determinadas circunstancias, puede obtener privilegios de administrador. Alpine explicó que esas imágenes no son vulnerables por esta vía en su primer arranque, pero pueden quedar expuestas si después existe otra cuenta local con una contraseña almacenada en un formato compatible y se cumplen las demás condiciones. La cuenta `root`, con los mayores privilegios del sistema, tiene protección frente al acceso directo por contraseña en la configuración predeterminada de OpenSSH. Esa protección no elimina el riesgo de que otra cuenta expuesta tenga permisos para elevar sus privilegios. El investigador de seguridad Özgün Kültekin, de Wakefield, reportó la falla al proyecto OpenSSH. Según The Hacker News, al publicarse su cobertura el 5 de noviembre no había reportes de ataques que la utilizaran. Esa ausencia de reportes no demuestra que nunca se haya explotado. ## Qué paquete corrige cada rama de Alpine Aunque OpenSSH publicó la versión 10.6p2, Alpine incorporó la corrección en paquetes con números anteriores para sus ramas estables. Por eso, comparar únicamente el número general de OpenSSH con 10.6p2 puede llevar a pensar que una instalación corregida sigue sin parchear. La siguiente tabla reúne las versiones de paquete que Alpine identificó como corregidas para cada rama. __Paquetes OpenSSH corregidos según la rama de Alpine Linux__ | Rama de Alpine | Paquete OpenSSH corregido | | -------------- | ------------------------- | | edge | 10.6\_p2-r0 | | 3.24 | 10.3\_p1-r2 | | 3.23 | 10.2\_p1-r1 | | 3.22 | 10.0\_p1-r11 | | 3.21 | 9.9\_p2-r1 | | 3.20 | 9.7\_p1-r6 | | 3.19 | 9.6\_p1-r3 | | 3.18 | 9.3\_p2-r4 | | 3.17 | 9.1\_p1-r7 | | 3.16 | 9.0\_p1-r6 | Alpine también indicó que las versiones 3.21.10, 3.22.8, 3.23.8 y 3.24.4 incluyen el paquete corregido. La distribución publicó parches hasta la rama 3.16, aunque la 3.21 y las anteriores ya no reciben soporte regular; disponer de esta corrección no restablece ese soporte. Para aplicar la solución en un sistema en funcionamiento, Alpine recomienda actualizar el paquete y reiniciar `sshd`. Si no es posible actualizar de inmediato, propone desactivar la autenticación por contraseña y reiniciar el servicio. Antes de cambiar esa configuración, aconseja comprobar que el acceso por clave funciona y mantener abierta la sesión actual hasta verificar una nueva conexión. El proyecto también recomienda revisar los registros de autenticación en busca de accesos por contraseña a cuentas que no deberían aceptarla, así como cambios recientes en usuarios, claves autorizadas y uso de privilegios. Si no puede descartarse un acceso indebido, Alpine pide tratar la máquina como comprometida. Instalar el parche cierra la vía descrita, pero no resuelve por sí solo una posible intrusión anterior. [Alpine Linux reconstruye su servidor de GitLab tras un intento de explotar una falla críticaAlpine Linux reabrió su servidor de GitLab tras un intento de explotar una falla crítica vinculada a Ruby.![](https://fomoera.com/content/images/icon/FomoEra-favicon-512-04876404-a4d3-4706-96b6-658fe573a01d.png)FomoEraPatricia Rodriguez![](https://fomoera.com/content/images/thumbnail/fomoera-alpine-linux-reconstruye-su-servidor-de-gitlab-tras-un-intento-de-explotar-una-falla-critica-c5fe7ebc-16x9-v2-1600x900-d8127b05-ba7b-448f-9b28-513d25fb8cf0.webp)](https://fomoera.com/alpine-linux-gitlab-falla-ruby/) *Fuentes:* [1](https://alpinelinux.org/posts/2026-11-05-openssh-password-authentication-bypass/?ref=fomoera.com), [2](https://www.openssh.org/releasenotes.html?ref=fomoera.com#10.6p2), [3](https://github.com/advisories/GHSA-4fcc-vm97-gx3x?ref=fomoera.com), [4](https://blog.checkpoint.com/exposure-management/a-critical-ssh-password-bypass-hits-musl-based-linux/?ref=fomoera.com), [5](https://thehackernews.com/2026/11/openssh-issues-emergency-fix-for-flaw.html?ref=fomoera.com)