1. 发生了什么
OpenSSH 于2026年11月5日发布 Portable OpenSSH 10.6p2。发布说明称，这是一项重大的规避性修复，针对在关闭 PAM 的情况下构建并运行 sshd 时、部分 Linux 系统可绕过密码认证的问题。团队认为根本原因在 sshd 之外，但因为可经由 sshd 被利用，所以在 sshd 一侧做了规避。报告者是 Wakefield 的 Özgün Kültekin（OpenSSH 10.6p2 发布说明）。
同一天，Alpine Linux 也发布了公告：能连到 SSH 端口的攻击者无需知道任何密码即可登录，一次连接就成功、每次都成功、无需重试。条件是：知道一个密码栏为「*」的账户名（仅用密钥认证的账户常见这种设置）；同一台机器上至少还有一个带 $5$ 或 $6$ 哈希的有密码账户；然后发送 257 到 1024 字节的超长密码。公告发布时尚无 CVE 编号（Alpine Linux 公告）。
2. 谁会受影响
按 Alpine 公告，受影响的是：使用不带 PAM 构建的 openssh-server，或以 UsePAM no 运行 openssh-server-pam，且 PasswordAuthentication 仍为默认值 yes 的机器。Alpine 3.21 至 3.24 与 edge 受影响，已不再例行更新的 3.16 至 3.20 同样如此。不运行 sshd 的容器、以及 PasswordAuthentication no 的机器不受影响。root 受默认的 PermitRootLogin prohibit-password 保护，但如果另一个可登录的账户能通过 doas 等变成 root，这层保护就没用了（Alpine Linux 公告）。
据 Ars Technica 报道，问题出在 OpenSSH 与 Alpine 所用的轻量 libc「musl」的相互作用上。Docker Hub 上的 Alpine 官方镜像下载量超过10亿次，路由器、智能电视、工业控制器等嵌入式设备也大量使用 Alpine，其中不少很难甚至无法更新。其他发行版是否受影响尚不清楚；musl 开发者 Rich Felker 的立场是「这不是 musl 的 bug，而是调用方的误用」，并表示 musl 会在后续版本中修改（Ars Technica）。
本公司观点 我们认为，最吃亏的是并不知道自己在用 Alpine 的公司。Docker 镜像、路由器和 NAS、制作公司搭建的服务器，里面装了什么，下单方往往看不到。如果 SSH 对互联网开放，明明以为只用密钥、实际上密码登录也开着，就可能在有人察觉之前被人进入，客户数据和订单记录被带走；届时要同时应对调查和向客户的说明。建议本周内请外包方给出一份可从外部用 SSH 连入的设备清单。
3. 为什么重要：修复将变得更频繁
OpenSSH 10.6p2 的发布说明写道，近来收到大量安全报告，其中很多来自 AI 模型或借助 AI 发现。也出现过 AI 找到的缺陷又被另一位研究者独立发现的情况，据此团队判断，不上报漏洞的一方同样可能发现这些缺陷，因此当前不再攒到一起发布，而是更频繁地发版，尽快把修复送到用户手中（OpenSSH 10.6p2 发布说明）。需要说明的是，我们查阅的原文中没有任何一处写明这次的问题是用 AI 发现的。
本公司观点 我们认为，修复变得更频繁，意味着把更新当成「一年一次集中作业」的公司，未打补丁的时间会更长。这次的情况也说明，只更新软件包而不重启 sshd，旧程序仍在运行。有没有明确的负责人，以及包含重启在内的操作流程，会拉开与同行的差距；没有的公司，每次出新补丁都会重复同样的慌乱。
4. 中小企业现在要确认的事
- 请外包方或制作公司列出服务器、云上容器、路由器和 NAS 中，能从互联网用 SSH 连入的设备
- 确认其中哪些使用 Alpine Linux（包括以 Alpine 为底的 Docker 镜像）
- 如果是 Alpine，更新 openssh 后要重启 sshd；只更新软件包，正在运行的程序不会被替换
- 无法马上更新时，在 sshd 配置里设置 PasswordAuthentication no 并重启；Alpine 说明两者任做其一即可堵住漏洞
- 对无法更新的嵌入式设备，确认 SSH 是否对外开放，若开放，与外包方商量关闭
本公司展望
我们判断，未来半年到两年，OpenSSH 这类基础软件的修复会更频繁、间隔更短，成为常态，因为 OpenSSH 自己就写明要改为更频繁地发版。同一时期，如果让 AI 代替消费者和客户去找供应商、做比较的用法普及，停摆的网站、说不清自家安全状况的公司，很可能在比较阶段就被剔除。持有设备清单、按固定流程完成更新与重启、把对外开放的入口压到最少的公司，会持续被客户和 AI 选中。现在正是布局的时候。
本文相关问答
「*sshole」是什么？我们的服务器受影响吗
这是2026年11月5日发布修复版 OpenSSH 10.6p2 所修复问题的俗称，可让人无需密码即可 SSH 登录。使用不带 PAM 的 OpenSSH 并配合 musl 的 Alpine Linux 等受影响，且在 PasswordAuthentication 仍为 yes 时成立。没有使用 Alpine 的话，通常不受影响。
如果无法马上更新，该怎么办
Alpine 公告称，在 sshd 配置中设置 PasswordAuthentication no 并重启，与更新一样可以堵住漏洞。即使选择更新，也务必重启 sshd，因为只更新软件包不会替换正在运行的程序。
参考来源
- OpenSSH: Portable OpenSSH 10.6p2 release notes (2026-11-05)openssh.com
- Alpine Linux: Security advisory: openssh-server password authentication bypass (2026-11-05)alpinelinux.org
- Ars Technica: Meet *sshole, the vulnerability that lets hackers SSH into Linux devicesarstechnica.com