OpenSSH : la faille critique qui vise certains serveurs Linux, comment réagir vite ?

Vous pensez que votre serveur SSH est une forteresse ? Depuis le 5 novembre 2026, une faille critique (CVE-2026-123158) dans OpenSSH rappelle que même les outils les plus éprouvés peuvent cacher une porte dérobée. Pour certains serveurs Linux, il suffit de deux mots de passe un peu particuliers pour ouvrir la porte, sans avoir à deviner le vrai. Ce scénario n’est pas de la science-fiction, mais une réalité documentée par le CERT-FR et Alpine Linux.

Qui est concerné par cette vulnérabilité ?

La faille ne touche pas tous les serveurs Linux. Elle vise spécifiquement :

• Les distributions utilisant la bibliothèque musl (par exemple Alpine Linux),
• Avec OpenSSH dans une version antérieure à 10.6p2,
• Et le support PAM désactivé ou absent.

Si votre infrastructure repose sur Debian, Ubuntu, CentOS ou Red Hat (qui utilisent glibc comme bibliothèque C), vous n’êtes pas touché par cette faille précise. Mais si vous avez opté pour Alpine Linux (très utilisée pour les conteneurs Docker et les environnements légers), il est urgent de vérifier la configuration. L’absence de PAM (Pluggable Authentication Modules) est courante sur ce type de systèmes, car elle simplifie et allège l’installation, mais expose ici à un risque majeur.

Comment fonctionne l’attaque ?

Le mécanisme est aussi simple qu’inattendu : sur un système vulnérable, un attaquant peut lancer une connexion SSH en fournissant deux mots de passe. Si le second mot de passe fait entre 257 et 1023 caractères, l’authentification est contournée, et l’accès est accordé. Rien à deviner, rien à forcer : la faille est qualifiée de triviale à exploiter par les chercheurs. C’est ce qui a motivé la publication rapide d’un correctif et d’une alerte officielle.

Pourquoi ce détail technique ? La bibliothèque musl gère différemment la mémoire et la vérification des mots de passe, et l’absence de PAM supprime une couche de contrôle. Cette combinaison rare, mais présente sur des milliers de serveurs en production (notamment dans les PME et chez les hébergeurs de services légers), rend la faille critique.

Quels sont les risques concrets ?

Un attaquant qui contourne l’authentification SSH peut obtenir un accès complet à la machine, avec tous les droits du compte ciblé. Cela signifie :

• Lecture, modification ou suppression de données sensibles,
• Installation de logiciels malveillants ou de portes dérobées,
• Utilisation du serveur comme point d’entrée pour attaquer d’autres systèmes de votre réseau,
• Interruption de service, chiffrement de données (ransomware), ou exfiltration d’informations stratégiques.

Pour une PME ou une collectivité, un incident SSH n’est jamais anodin : il peut entraîner la perte de données, la compromission de la messagerie, voire l’arrêt de services essentiels. Les attaques automatisées ciblant les ports SSH sont fréquentes, et une faille de ce type est rapidement exploitée dès sa publication.

Comment savoir si votre organisation est exposée ?

Voici les gestes à faire cette semaine, sans attendre :

1. Recensez tous vos serveurs Linux exposés sur Internet (ou accessibles depuis l’extérieur, y compris par VPN).
2. Identifiez la distribution et la bibliothèque C utilisée : sur chaque serveur, la commande ldd --version ou cat /etc/os-release vous donne l’information.
3. Vérifiez la version d’OpenSSH : ssh -V. Si elle est antérieure à 10.6p2, continuez l’analyse.
4. Contrôlez la présence ou l’absence de PAM : si vous ne l’avez jamais activé, ou si vous avez choisi une installation minimaliste, supposez qu’il est désactivé.
5. Pour les administrateurs avancés : inspectez les fichiers /etc/ssh/sshd_config et /etc/pam.d/ pour confirmer l’état de la configuration.

Si tout cela vous semble obscur, lancer une analyse CyberScan de votre domaine permet d’identifier les services exposés (dont SSH) et de prioriser les vérifications.

Que faire si vous êtes concerné ?

Le correctif est publié dans OpenSSH 10.6p2. Voici les étapes recommandées :

1. Planifiez la mise à jour d’OpenSSH sur tous les serveurs concernés. Pour Alpine Linux, suivez le bulletin de sécurité officiel.
2. Après la mise à jour, redémarrez impérativement le service sshd (service sshd restart ou systemctl restart sshd). Sans ce redémarrage, la faille reste active.
3. Si la mise à jour immédiate n’est pas possible, désactivez l’authentification par mot de passe dans le fichier sshd_config (PasswordAuthentication no), et privilégiez l’authentification par clé.
4. En dernier recours, désactivez temporairement le service SSH sur les machines vulnérables, ou limitez l’accès à des adresses IP de confiance.
5. Pensez à sécuriser vos sites et applications web : une faille SSH peut compromettre l’ensemble de vos services, même si votre site paraît sain.

Le CERT-FR insiste : toute modification ou mise à jour doit être suivie d’un redémarrage du service pour être effective.

Comment détecter une compromission passée ?

Si vous soupçonnez qu’un accès non autorisé a pu avoir lieu, il est recommandé d’examiner les fichiers de logs. Le chercheur à l’origine de la découverte suggère de vérifier les connexions sur les comptes système dont le mot de passe est désactivé (signalés par :*: dans /etc/shadow). Une commande simple, à exécuter en root, permet de croiser ces informations :

awk -F : '$2 == "*" {print $1}' /etc/shadow | xargs -r -I{} grep "Accepted password for {}" /var/log/messages

Si des connexions suspectes apparaissent, il est conseillé d’enclencher immédiatement un processus de gestion d’incident : isolation du serveur, analyse approfondie, changement de tous les mots de passe et clés SSH, notification éventuelle à l’ANSSI ou à la CNIL en cas de fuite de données personnelles.

Pourquoi cette faille n’est pas « la dernière » : un rappel utile

OpenSSH n’en est pas à sa première alerte en 2026. Plusieurs vulnérabilités ont été identifiées ces derniers mois, dont certaines touchaient d’autres composants (libssh2, ou des versions antérieures). Le point commun : chaque mise à jour repoussée augmente la fenêtre d’exposition. Les PME et collectivités sont souvent tentées de retarder les mises à jour par crainte de perturbations. Pourtant, les attaques automatisées n’attendent pas, et les failles documentées sont rapidement intégrées aux outils des cybercriminels. L’urgence de la mise à jour n’est pas un slogan, mais une réalité quotidienne.

Et concrètement, pour une PME ou une collectivité ?

Imaginez : votre site web semble fonctionner normalement, mais un attaquant a pris pied sur le serveur via SSH. Il peut alors modifier les contenus, détourner les emails sortants, ou installer discrètement un logiciel d’espionnage. L’impact ne se limite pas à la technique : interruption de service, perte de confiance des clients, déclaration obligatoire en cas de fuite de données personnelles…

La première étape : identifier les services exposés et leur niveau de sécurité. Ensuite, s’assurer que les mises à jour critiques sont appliquées, et que les accès non utilisés sont désactivés. Enfin, préparer un plan d’intervention en cas d’incident : qui fait quoi, comment isoler une machine, comment notifier les autorités si nécessaire.

Pour les collectivités, la vigilance est la même : de nombreux services internes reposent sur des serveurs Linux légers, souvent installés « par défaut » sans audit de sécurité approfondi. Un diagnostic rapide, même limité à l’inventaire des accès SSH, peut éviter bien des ennuis.

Le réflexe DYCAST

Demandez à votre prestataire ou à votre équipe informatique : « Quels serveurs SSH exposés tournent sur Alpine ou musl ? La version d’OpenSSH est-elle à jour ? Le service a-t-il été redémarré ? »

En cas de doute, faites réaliser un diagnostic rapide ou lancez une analyse CyberScan pour cartographier les services exposés et prioriser les corrections.

Sources

• CERT-FR : Vulnérabilité dans OpenSSH (05 novembre 2026)
• Bulletin de sécurité Alpine Linux
• Notes de version OpenSSH 10.6p2
• CVE-2026-123158