החולשה, CVE-2026-123158, פוגעת בהפצות לינוקס שמבוססות על ספריית musl ופועלות בלי PAM, כמו Alpine, Buildroot, OpenWrt ו-Yocto. בתנאים מסוימים, שרת ה-SSH מקבל סיסמה ארוכה במיוחד כנכונה, גם לחשבונות שאמורים לא לקבל סיסמה בכלל, כמו root. ב-Alpine מושפעים בין השאר root, משתמשים שנוצרו בלי סיסמה ומשתמש ה-alpine בתמונות הענן הרשמיות.
OpenSSH שחררה תיקון בשבוע שעבר, ו-Alpine קראה למשתמשים להתקין אותו ולהפעיל מחדש את sshd. בסוף השבוע דיווחו WatchTowr ו-Previdian על ניצול בפועל; לפי WatchTowr, עד כה רק בוטנטים וכורי קריפטו ניצלו אותה. Previdian זיהתה 20 ניסיונות ניצול מ-13 כתובות IP ב-9 מדינות בין 6 ל-8 בנובמבר, וגם GreyNoise ו-Defused דיווחו על ניסיונות.
מה לעשות: לעדכן ל-OpenSSH 10.6p2 בהקדם. אם אי אפשר לעדכן מיד, אפשר לכבות התחברות בסיסמה (שפעילה כברירת מחדל) או לכבות את SSH, ולבדוק ביומנים בקשות התחברות חריגות.