Faille OpenSSH : un serveur s'ouvre sans mot de passe
Une faille dans OpenSSH, publiée le 5 novembre, permet dans certains cas de se connecter à un serveur sans connaître son mot de passe. Voici qui est concerné et que demander à votre hébergeur.
Ce que permet la faille
Le 5 novembre, l'équipe d'OpenSSH a publié la version 10.6p2 pour corriger une faille de sécurité. OpenSSH est le logiciel de connexion sécurisée à distance qui permet d'administrer un serveur depuis un autre ordinateur. Le CERT-FR a diffusé le même jour une alerte, mise à jour le 6 novembre sous la référence CVE-2026-123158.
Dans les cas concernés, un attaquant qui peut joindre le port de connexion du serveur s'y connecte sans connaître aucun mot de passe. Une seule tentative suffit : il envoie un mot de passe très long, de 257 à 1 024 caractères, et le serveur l'accepte. Le CERT-FR qualifie la faille de triviale à exploiter quand les conditions sont réunies, et sa fiche CVE lui attribue 8,1 sur 10.
Qui est concerné ?
Les versions d'OpenSSH antérieures à 10.6p2 sont concernées, mais seulement sur certains serveurs : ceux qui tournent sous Linux avec la bibliothèque système musl et sans le module d'authentification PAM. Alpine Linux en est un exemple.
Ces serveurs ne sont exposés que s'ils acceptent en plus la connexion par mot de passe, ce qui est le réglage par défaut d'OpenSSH, et s'ils comptent à la fois un compte sans mot de passe, comme c'est courant pour un compte qui se connecte par clé, et au moins un autre compte qui en possède un.
Sont donc protégés les conteneurs Docker qui n'embarquent pas ce service de connexion, les serveurs où la connexion par mot de passe est désactivée et ceux dont le module PAM est actif.
Ce que vous pouvez demander à votre hébergeur
Si vous ne gérez pas vous-même de serveur, votre site est hébergé chez un prestataire, qui doit suivre ces alertes. Vous pouvez lui demander si sa version d'OpenSSH est la 10.6p2 ou une version corrigée par sa distribution, s'il a redémarré le service de connexion après la mise à jour, et si la connexion par mot de passe est désactivée, ce que le CERT-FR recommande tant que le correctif n'est pas appliqué.
Le redémarrage compte autant que la mise à jour : le CERT-FR demande que tout correctif ou changement de configuration s'accompagne d'un redémarrage du service, et Alpine rappelle qu'une simple mise à jour du paquet ne remplace pas le service déjà en marche.
De notre côté, nous avons contrôlé nos serveurs d'hébergement le 7 novembre : leur configuration ne permet pas d'exploiter cette faille. Pour savoir ce qu'il faut surveiller sur un site une fois livré, lisez Votre site est livré, et maintenant ?, et pour une question sur votre propre hébergement, écrivez-nous depuis la page contact.