OpenSSH 10.6p2: bypass de autenticación ya explotado (CVE-2026-123158)

OpenSSH 10.6p2: bypass de autenticación ya explotado (CVE-2026-123158)

Qué es y a quién afectaLa CVE-2026-123158 es una vulnerabilidad en OpenBSD OpenSSH que, según el NIST, afecta a sshd en OpenSSH anterior a 10.6p2 sobr...

Qué es y a quién afecta

La CVE-2026-123158 es una vulnerabilidad en OpenBSD OpenSSH que, según el NIST, afecta a sshd en OpenSSH anterior a 10.6p2 sobre Linux cuando se usa la librería musl libc sin PAM. El fallo (CWE-394, código de estado o valor de retorno inesperado) provoca que el demonio interprete mal si una cadena debe tratarse como un hash de contraseña. El resultado es un bypass de autenticación por contraseña: en determinadas configuraciones de cuenta, cualquier contraseña de entre 256 y 1024 caracteres es aceptada. Alpine Linux es el ejemplo de plataforma que usa musl sin PAM.

Puerta de rack de servidores entreabierta que deja pasar la luz, metáfora de un fallo de autenticación en OpenSSH

Las versiones afectadas que recoge la NVD son OpenSSH hasta 10.6 (sin incluir), 10.6 y 10.6p1. La gravedad asignada es CVSS 3.1 de 8.1 (HIGH), con vector CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H. Es decir, se trata de un fallo grave, no crítico, y explotable en remoto, algo que debería hacer saltar todas las alarmas en cualquier empresa que administre servidores Linux con acceso SSH expuesto.

El impacto real para una pyme, un comercio online o un equipo de IT pequeño es directo: si un atacante consigue autenticarse sin credenciales válidas, entra en el servidor con los privilegios de la cuenta comprometida y desde ahí puede leer datos, modificar ficheros, instalar persistencia o pivotar hacia la base de datos de la tienda. En un WordPress, PrestaShop o Joomla alojado en ese servidor, el paso siguiente suele ser el robo de datos de clientes, con las obligaciones que impone el RGPD y la LOPDGDD.

Por qué es urgente: ya se explota en ataques reales

No estamos ante una vulnerabilidad teórica. CISA añadió la CVE-2026-123158 a su catálogo KEV el 9 de noviembre de 2026, lo que confirma que se ha observado explotación activa en ataques reales. El plazo que la agencia estadounidense dio a sus agencias federales para aplicar mitigaciones terminó el 12 de noviembre de 2026, apenas tres días después. Ese ritmo da una idea clara de la prioridad: cuando una vulnerabilidad entra en el KEV, los atacantes ya la están usando y el margen de reacción se mide en horas, no en semanas.

CISA exige aplicar las mitigaciones siguiendo las instrucciones del fabricante y, si no hay mitigación disponible, valorar la discontinuidad del servicio. También pide a las organizaciones evaluar la exposición a internet de cada activo. En el material consultado no consta uso en campañas de ransomware, pero eso no resta urgencia: el bypass de autenticación es una puerta de entrada perfecta para cualquier actor posterior.

Qué hacer hoy

  • Inventariar. Localiza todos los servidores Linux con SSH accesible y anota la versión de OpenSSH y la distribución. Presta atención especial a entornos con musl libc sin PAM, como Alpine Linux, contenedores minimalistas o imágenes de Docker.
  • Actualizar. Aplica la actualización o mitigación que indique el aviso del fabricante. La NVD marca como afectadas las versiones hasta 10.6, 10.6 y 10.6p1; el parche oficial está publicado en el repositorio de OpenSSH. No improvises versiones corregidas: guíate por el aviso del fabricante y por el boletín de tu distribución.
  • Revisar indicios de intrusión. Busca accesos SSH exitosos no esperados, cuentas nuevas, claves autorizadas desconocidas, cambios en ficheros de sistema o procesos sospechosos. Si sospechas compromiso, no borres evidencias: aísla el servidor y analiza.
  • Reducir exposición. Restringe el acceso SSH por IP, desactiva la autenticación por contraseña donde sea posible, exige claves y MFA, y no dejes el puerto 22 abierto a todo internet sin necesidad.
  • Revisar la web. Si el servidor aloja un WordPress, PrestaShop o Joomla, comprueba integridad de ficheros, usuarios administradores y plugins o módulos desconocidos.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes, comercios online y empresas de Lleida, Barcelona, Tarragona, Girona y resto de España que tienen webs en WordPress, PrestaShop o Joomla, servidores propios o un equipo de IT pequeño. Ante un fallo como la CVE-2026-123158, lo primero es saber qué tienes: una auditoría de seguridad y un pentesting permiten identificar versiones vulnerables, servicios expuestos y configuraciones débiles antes de que alguien las aproveche. A partir de ahí aplicamos hardening de servidores, revisamos la configuración de SSH y de los paneles de administración, y mantenemos actualizados el CMS, los plugins y el software de base con parches de seguridad al día.

Si el servidor ya ha sido comprometido, nuestro equipo de respuesta a incidentes analiza el alcance, contiene la amenaza y repara la web hackeada, restaurando desde copias de seguridad verificadas. Además, la monitorización continua permite detectar accesos anómalos y actuar en horas en lugar de descubrirlo semanas después. La ciberseguridad no es un producto que se instala y se olvida: es un proceso de revisión constante, y en un escenario de explotación activa como este, cada día cuenta.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.