OpenSSH-projektet har släppt en akut säkerhetsuppdatering som åtgärdar en kritisk sårbarhet i SSH-servern. Säkerhetsbristen kan göra det möjligt för en angripare att logga in utan att känna till användarens lösenord. Problemet drabbar framför allt Linuxsystem som använder musl libc utan PAM-autentisering, exempelvis Alpine Linux.

OpenSSH 10.6p2 släpptes den 5 november 2026 och innehåller en säkerhetsåtgärd som förhindrar att lösenordsautentiseringen kan kringgås i vissa Linuxmiljöer.

Sårbarheten finns i samspelet mellan OpenSSH och systemets C-bibliotek, musl libc. Enligt utvecklarna ligger den bakomliggande orsaken utanför själva OpenSSH, men eftersom bristen kan utnyttjas genom SSH-servern, sshd, har projektet valt att införa en skyddsåtgärd direkt i programvaran. openssh.org+1

Alpine Linux särskilt utsatt

Säkerhetsbristen påverkar system där OpenSSH använder musl libc, PAM är avstängt och lösenordsautentisering är aktiverad.

Enligt säkerhetsforskarna kan felet under vissa förutsättningar utnyttjas genom att skicka ett ovanligt långt lösenord. Detta kan få funktionen crypt() att returnera ett värde som felaktigt godkänns vid autentiseringen.

Problemet har bland annat bekräftats i Alpine Linux och berör även äldre OpenSSH-versioner. Däremot påverkas inte Linuxsystem som använder glibc eller där PAM hanterar lösenordsautentiseringen. Det innebär att vanliga installationer av exempelvis Debian och Ubuntu normalt inte omfattas av just denna sårbarhet. Wakefield+1

Administratörer som använder berörda system uppmanas att installera säkerhetsuppdateringen omedelbart. Om uppdateringen ännu inte finns tillgänglig rekommenderas att lösenordsinloggning tillfälligt stängs av genom följande inställning i /etc/ssh/sshd_config:

PasswordAuthentication no

Innan SSH-tjänsten startas om måste administratören säkerställa att inloggning med SSH-nyckel fungerar, annars finns risken att förlora fjärråtkomsten till servern. Advisory for OpenSSH+musl users

Flera andra förbättringar

Förutom säkerhetsrättningen innehåller OpenSSH 10.6p2 flera mindre förbättringar och buggfixar.

Bland nyheterna finns stöd för den postkvantbaserade hybridsignaturalgoritmen ssh-mldsa44-ed25519 som tillåten signaturalgoritm för certifikatutfärdare.

Utvecklarna har också rättat ett fel som kunde orsaka en kortvarig ökning av CPU-belastningen när inställningen ChannelTimeout användes.

Dessutom har problem med signalerna SIGINT och SIGQUIT åtgärdats. Dessa kunde tidigare orsaka oväntat beteende när användare skrev in lösenfraser i verktygen ssh, ssh-add och ssh-keygen. openssh.org

AI påverkar arbetet med säkerhetsuppdateringar

OpenSSH-utvecklarna meddelar samtidigt att de förändrar sitt arbetssätt kring säkerhetsuppdateringar.

Bakgrunden är ett växande antal säkerhetsrapporter som genereras helt eller delvis med hjälp av artificiell intelligens.

Även om många rapporter saknar praktisk säkerhetsbetydelse har utvecklarna sett exempel där AI-assisterade verktyg identifierat verkliga sårbarheter som kort därefter upptäckts oberoende av andra.

Detta har fått projektet att ifrågasätta långa perioder mellan upptäckt och offentliggörande av säkerhetsbrister. Framöver vill utvecklarna kunna publicera säkerhetsrättningar snabbare. MARC

SCP får förändrat beteende

OpenSSH 10.6p2 behåller också den tidigare annonserade utfasningen av alternativet -R i kommandot scp.

Alternativet används för att kopiera filer mellan två fjärrsystem genom att köra scp på en av fjärrdatorerna.

Sedan OpenSSH 10.6 visas en varning när alternativet används. I en framtida version kommer det att ignoreras och filöverföringen i stället genomföras via den lokala datorn.

Förändringen syftar bland annat till att minska säkerhetsrisker kopplade till hur kommandon och filnamn hanteras på fjärrsystem. openssh.org

OpenSSH 10.6p2 finns nu tillgänglig för nedladdning. Linuxadministratörer rekommenderas att kontrollera vilka versioner och säkerhetsuppdateringar som erbjuds genom den egna distributionens pakethanterare.

Källor: OpenSSH – officiella versionsnyheter · Wakefield – teknisk analys av sårbarheten · musl – säkerhetsmeddelande