Alpine Linux 與 OpenSSH 在 2026 年 11 月 5 日發布安全更新。CVE-2026-123158 涉及特定 Linux 環境的 SSH 密碼驗證；符合條件時，外部人士可能不必知道密碼就能登入。管理 Alpine 主機時，先確認有沒有對外提供 sshd，再核對分支套件與實際設定。
哪些 Alpine 主機需要優先處理
風險同時取決於服務可達、使用 musl 且不經 PAM 驗證、允許密碼登入，以及帳號資料符合公告所列條件。Alpine 的一般 openssh-server 不含 PAM；即使用 PAM 套件，若設定 UsePAM no，仍要核對。還需要存在密碼欄為 * 的可登入目標帳號，以及至少一個本機帳號使用 SHA-256 或 SHA-512 crypt 密碼雜湊。
不要看到「平常都用金鑰登入」就當成已關閉密碼登入。這是兩件事。預設的 root 禁止密碼登入設定可限制直接登入 root，但若其他可登入帳號能提權，風險仍在。只拿 Alpine 當應用程式容器底圖、容器內沒有跑 sshd，便沒有這個容器內的 SSH 入口；宿主機或其他容器仍要分開判斷。
修補版要按 Alpine 分支核對
| 分支 | Alpine 公告列出的修補套件 |
|---|---|
| edge | 10.6_p2-r0 |
| 3.24 | 10.3_p1-r2 |
| 3.23 | 10.2_p1-r1 |
| 3.22 | 10.0_p1-r11 |
| 3.21 | 9.9_p2-r1 |
上游 Portable OpenSSH 的修補發行版是 10.6p2；Alpine 舊分支把修補回移到自己的套件，不必等版本號全部變成 10.6。表中只列常見分支；3.21 及更舊分支有本次特別修補，也不等於恢復日常支援，應另外安排遷移。
升級後要換掉正在運行的 sshd
先確定手邊有主機控制台或其他復原入口，保留目前的管理連線。從所用分支的套件庫更新後，檢查設定並重啟 sshd，再用新連線確認金鑰登入及必要的管理權限；只更新磁碟上的套件，舊程序仍可能繼續運行。
不能立即更新時，Alpine 建議關閉 PasswordAuthentication 並重新啟動服務。動手前先確認有可用的金鑰登入，變更後要核對帳號與來源實際命中的設定，避免忽略個別登入規則。公開技術重現說明風險可成立，不能據此判定某台主機已遭入侵；如有陌生登入，保留日誌並調查帳號活動。
原始公告日期：2026 年 11 月 5 日。封面為 AI 生成的概念插畫。
