1. 何が起きたか
OpenSSHは2026年11月5日、Portable OpenSSH 10.6p2を公開しました。リリースノートは、PAMを無効にしてビルド・実行したLinuxの一部で、パスワード認証をすり抜けられる問題を回避する重大な修正だと説明しています。根本原因はsshdの外にあると考えるが、sshd経由で悪用できるため、sshd側で避けられるようにしたとしています。報告者はWakefieldのÖzgün Kültekin氏です（OpenSSH 10.6p2のリリースノート）。
同じ日、Alpine Linuxも勧告を出し、SSHのポートに到達できる攻撃者は、パスワードを知らなくてもログインでき、接続1回で毎回成功し、再試行も要らないと説明しました。条件は、パスワード欄が「*」のアカウント（鍵認証だけのアカウントでよくある設定）の名前を知っていること、同じ機器に$5$または$6$のハッシュを持つパスワード付きアカウントが少なくとも1つあること、そして257〜1024バイトの長いパスワードを送ることです。CVE番号は勧告の時点で付いていません（Alpine Linuxの勧告）。
2. 誰が影響を受けるか
Alpineの勧告によると、対象になるのは、PAMなしでビルドされたopenssh-server、またはUsePAM noで動かすopenssh-server-pamで、PasswordAuthenticationがyes（初期値）のままの機器です。Alpine 3.21から3.24とedge、さらに更新が止まった3.16〜3.20も含みます。sshdを動かさないコンテナ、PasswordAuthentication noの機器は対象外です。rootは初期設定のPermitRootLogin prohibit-passwordで守られますが、doasなどでrootになれる別のアカウントに入られれば意味がないとしています（Alpine Linuxの勧告）。
Ars Technicaによると、この問題はOpenSSHと、Alpineが使う軽量のlibc「musl」の組み合わせで起きます。Docker Hubの公式Alpineイメージは10億回以上ダウンロードされ、ルーター、スマートテレビ、産業用制御装置などの組み込み機器にもAlpineが広く使われ、その多くは更新が難しいと伝えています。ほかのディストリビューションが影響を受けるかはまだ分かっておらず、musl開発者のRich Felker氏は「muslのバグではなく呼び出し側の誤用」との立場で、musl側の変更は次の版で行う予定だとしています（Ars Technica）。
当社の見方 この件で痛いのは、自社でAlpineを使っている認識がない会社だと当社は見ています。Dockerのイメージ、ルーターやNAS、制作会社が構築したサーバーの中身は、発注側から見えないことが多いためです。もしSSHがインターネットに開いたまま、鍵認証のつもりでパスワード認証も有効なら、誰かが気付く前に社内に入られ、顧客データや受発注の記録が持ち出されるおそれがあります。その場合は被害の調査と取引先への説明を同時に抱えます。まず、外部からSSHで入れる機器の一覧を、委託先に今週中に出してもらうことをお勧めします。
3. なぜ重要か：修正が「毎週」届く時代に
OpenSSH 10.6p2のリリースノートは、最近、AIモデルやAI支援による発見を含む大量のセキュリティ報告を受けていると書いています。AIが見つけた不具合を別の研究者が独立に見つける例もあり、報告せずに悪用する側も同じ不具合を見つけうると判断して、まとめて出す方式をやめ、当面はより頻繁にリリースして修正を早く届けるとしています（OpenSSH 10.6p2のリリースノート）。なお、今回の問題がAIで見つかったとは、確認できた原文のどこにも書かれていません。
当社の見方 修正の頻度が上がるということは、更新を「年に一度のまとめ作業」にしている会社ほど、未適用の期間が長くなるということだと当社は見ています。今回のように、更新してもsshdを再起動しなければ古いプログラムが動き続ける例もあります。更新の担当者と、再起動まで含めた手順が決まっているかどうかで、同業との差が出ます。決まっていない会社は、次の修正が出るたびに同じ慌て方を繰り返します。
4. 中小企業がいま確認すべきこと
- 自社のサーバー、クラウド上のコンテナ、ルーターやNASのうち、インターネットからSSHで入れるものを、委託先や制作会社に一覧にしてもらう
- その中でAlpine Linuxを使うものがあるか確認する（Dockerのイメージの元がAlpineの場合も含む）
- Alpineなら、opensshを更新したうえでsshdを再起動する。パッケージの更新だけでは、動いているプログラムは入れ替わらない
- すぐ更新できない場合は、sshdの設定でPasswordAuthentication noにして再起動する。どちらか一方で穴は塞がるとAlpineは説明している
- 更新できない組み込み機器は、SSHを外部に公開していないか確認し、公開しているなら閉じることを委託先と相談する
当社の展望
今後6か月から2年で、OpenSSHのような基盤ソフトの修正は今より頻繁に、しかも短い間隔で出るのが普通になると当社は見ています。OpenSSH自身が、より頻繁なリリースに切り替えると書いているためです。同じ時期に、消費者や取引先の代わりにAIが業者を探して比べる使い方が広がれば、止まったサイトや、安全性を説明できない会社は、比較の段階で候補から外されていきます。機器の一覧を持ち、更新と再起動を決まった手順で回し、外部に開く入口を最小にしている会社が、取引先にもAIにも選ばれ続けます。いまが布石を打つ時期です。
この記事に関するよくあるご質問
「*sshole」とは何ですか。自社のサーバーも対象ですか
2026年11月5日に修正版OpenSSH 10.6p2が出た、パスワードなしでSSHログインできてしまう問題の通称です。PAMなしのOpenSSHとmuslを使うAlpine Linuxなどが対象で、PasswordAuthenticationがyesのままのときに成立します。Alpineを使っていなければ、通常は対象外です。
すぐに更新できない場合は、何をすればよいですか
Alpineの勧告では、sshdの設定でPasswordAuthentication noにして再起動すれば、更新と同じく穴を塞げます。更新する場合も、パッケージの更新だけでは動いているsshdは入れ替わらないため、必ず再起動してください。
参考
- OpenSSH: Portable OpenSSH 10.6p2 release notes (2026-11-05)openssh.com
- Alpine Linux: Security advisory: openssh-server password authentication bypass (2026-11-05)alpinelinux.org
- Ars Technica: Meet *sshole, the vulnerability that lets hackers SSH into Linux devicesarstechnica.com