OpenSSH CVE-2026-123158（sshole）ほか2件 — 11月6日の脆弱性まとめ（悪用確認0件）
OpenSSH の CVE-2026-123158（sshole）は musl＋PAMなしの Alpine 等が対象。今日は sshd の更新と再起動、またはパスワード認証の無効化を。Rails Active Storage（CVSS 9.8）と Barracuda ESG の更新、チェックリストも整理。
最優先は OpenSSH の CVE-2026-123158（通称 sshole）である。影響を受けるのは、musl libc を使い、PAM を使わない構成の Linux 上の sshd、つまり Alpine Linux、Alpine ベースのコンテナやクラウドイメージ、OpenWrt などである。 該当する環境では、今日のうちに OpenSSH を修正版へ更新して sshd を再起動するか、更新できない間はパスワード認証を無効にする。Debian、Ubuntu、RHEL など glibc を使う一般的なサーバーは対象外である。ほかに、Ruby on Rails の Active Storage（GHSA-f3w6-w445-fwh9、CVSS 9.8）と、Barracuda Email Security Gateway（CVE-2026-116606 / CVE-2026-111560）にも更新が出ている。
11月6日（JST）に確認した CVE レコード、OpenSSH のリリースノート、Alpine Linux の告知、sshhole.com、GitHub の Rails セキュリティアドバイザリ、Barracuda の公式アドバイザリ、各報道に基づく。明記のない点は「公表されていない」とする。本日の3件はいずれも、実環境での悪用は報告されていない。CISA の KEV（悪用が確認された脆弱性の一覧）にも、11月5日から6日にかけて新規の追加はなかった。ただし OpenSSH は実証コードが公開されているため、悪用が始まる前に対処しておく価値がある。
今日の脆弱性一覧
| 製品 | CVE | 深刻度（CVSS） | 悪用状況 | 対処（修正版） |
|---|---|---|---|---|
| OpenSSH（musl libc・PAM なしの Linux。Alpine など） | CVE-2026-123158（sshole） | 8.1 High（CVSS 3.1。CNA は MITRE） | 実環境での悪用報告なし。CISA KEV 未掲載。実証コードは GitHub で公開（CISA ADP の評価は Exploitation=PoC） | OpenSSH 10.6p2。Alpine は apk upgrade のあと sshd を再起動 |
| Ruby on Rails Active Storage | GHSA-f3w6-w445-fwh9（CVE 未採番） | 9.8 Critical（CVSS 3.0） | 実環境での悪用は報告されていない | Rails 8.1.4.1 / 8.0.5.2 |
| Barracuda Email Security Gateway | CVE-2026-116606 | 9.3（Barracuda の評価は High） | 公式・報道とも悪用の報告なし | パッチ BNSF-40425（9.4.017 以降）/ BNSF-40430（9.4.017 未満） |
| Barracuda 各製品（ESG ほか） | CVE-2026-111560 | 8.6 High（管理者権限が必要） | 公式・報道とも悪用の報告なし | 製品別のパッチ ID（本文参照） |
1. OpenSSH CVE-2026-123158（sshole）— 長いパスワードで、パスワードのないアカウントに入られ得る
CVE レコード（2026年11月5日公開）によると、musl libc を使い PAM を使わない Linux 上の OpenSSH 10.6p2 より前の版では、sshd にパスワード認証を回避される欠陥がある。アカウントの設定によっては、256 文字から 1024 文字の長さのパスワードなら何でも受け入れられてしまう。深刻度は CVSS 3.1 で 8.1（High、評価者は MITRE）。CISA の評価（SSVC）は、実証コードあり（Exploitation=PoC）、自動化はされていない（Automatable=No）である。報告者は Özgün Kültekin（Wakefield）。
平易に言うと、パスワードでログインできないはずのアカウントに、長い適当な文字列を入れるだけでログインできてしまう、ということである。仕組みはこうである。musl の crypt()（パスワードを計算してハッシュにする関数）は、失敗すると "*" という文字列を返す。SHA-256 や SHA-512 の crypt は、256 バイトを超えるパスワードで失敗し、"*" を返す。一方、パスワードでのログインを許していない鍵専用のアカウントは、パスワード欄に "*" が保存されている。計算結果の "*" と保存された "*" が一致し、認証を通ってしまう。OpenSSH チームは、根本原因は sshd の外（musl の crypt()）にあるが、sshd 側でも回避できると説明している。
影響を受けるのは、次の条件がすべて重なったときである（Alpine の告知による）。
- openssh-server（PAM なしのビルド）を使っている、または openssh-server-pam を使い UsePAM no にしている
- PasswordAuthentication が有効（OpenSSH の既定は有効）
- パスワード欄が "*" のアカウントが1つ以上ある（Alpine のベースイメージの root、鍵専用のユーザー、ディレクトリ連携のユーザー、tiny-cloud イメージの alpine ユーザーなど）
- $5$ か $6$ のパスワードハッシュを持つローカルアカウントが1つ以上ある
影響しないのは、glibc を使う Debian、Ubuntu、RHEL など、PAM を使う構成（UsePAM yes）、PasswordAuthentication no にしている環境、ロック済みのアカウント（"!"）、Dropbear、OpenBSD、そして sshd を動かしていないコンテナである。musl を使う他の環境として、sshhole.com は OpenWrt、Buildroot、Yocto、Alpine ベースの Docker イメージを挙げている。
root は安全かというと、OpenSSH の既定では root のパスワードログインは禁止（PermitRootLogin prohibit-password）されている。ただし、Alpine の AWS や Azure などのクラウドイメージ（tiny-cloud。3.18.11 から 3.24.3 の qcow2、VHD、AMI）の alpine ユーザーは、パスワードなしで doas（管理者権限の実行）が使える。実質、管理者である。また、ほかのユーザーに $6$ のハッシュができた時点で、そのユーザーが攻撃の対象になる。
修正版と回避策
修正版は OpenSSH 10.6p2（11月5日リリース）である。Alpine の修正版パッケージ（openssh）は次のとおりである。ポイントリリースの 3.21.10、3.22.8、3.23.8、3.24.4 にも修正が含まれている。
| Alpine のブランチ | 修正版の openssh パッケージ |
|---|---|
| edge | 10.6_p2-r0 |
| 3.24 | 10.3_p1-r2 |
| 3.23 | 10.2_p1-r1 |
| 3.22 | 10.0_p1-r11 |
| 3.21 | 9.9_p2-r1 |
| 3.20 | 9.7_p1-r6 |
| 3.19 | 9.6_p1-r3 |
| 3.18 | 9.3_p2-r4 |
| 3.17 | 9.1_p1-r7 |
| 3.16 | 9.0_p1-r6 |
# 修正版へ更新し、sshd を再起動する（更新だけでは動作中の sshd は置き換わらない）
apk upgrade -U -a
rc-service sshd restart更新だけでは、すでに動いている sshd は置き換わらない。必ず sshd を再起動する。すぐに更新できない場合の回避策は、パスワード認証を無効にすることである。変更の前に、鍵でログインできることを別のセッションで確認し、今つながっているセッションは閉じないでおく。
# 回避策: パスワード認証を無効にする（事前に鍵ログインが通ることを確認し、今のセッションは閉じない）
mkdir -p /etc/ssh/sshd_config.d
echo 'PasswordAuthentication no' > /etc/ssh/sshd_config.d/00-no-passwords.conf
sshd -t && rc-service sshd restart
sshd -T | grep -i passwordauthentication確認方法と、侵害の確認
自分の環境が対象かは、次のコマンドで確認できる（権限が必要なものは root で実行する）。musl と表示され、passwordauthentication が yes、usepam が no で、"*" のアカウントと $5$ / $6$ のアカウントの両方がある場合は、条件に当てはまる。
# 版とビルドの確認（Alpine）
ssh -V
apk info -v openssh
# musl libc を使っているか（musl と出れば対象環境）
ldd $(which sshd) | grep -i musl
# 有効な設定の確認（root で実行。passwordauthentication yes かつ usepam no が危険な組み合わせ）
sshd -T | grep -iE 'passwordauthentication|usepam'
# パスワード欄が "*" のアカウント（root で実行）
awk -F: '$2=="*"{print $1}' /etc/shadow
# $5$ か $6$ のハッシュを持つアカウント（root で実行）
grep -E '^[^:]+:\$[56]\$' /etc/shadow | cut -d: -f1すでに侵入されていないかは、ログで確認する。パスワードのないアカウント（alpine、root、鍵専用のユーザー）への "Accepted password for" の記録があれば不審である。あわせて、doas の利用、見覚えのない新規ユーザー、authorized_keys の変更も見る。否定できない場合は、侵害されたものとして対応する。
# 侵害の確認: パスワードのないアカウントへのパスワードログイン成功を探す
grep 'Accepted password for' /var/log/messages補足として、この件は11月5日に Hacker News で首位になり、2,700 ポイントを超えた。話題性は高いが、公式の深刻度は 8.1 であり、条件が重なった環境に限られる点は冷静に押さえておく。公式: CVE レコード、OpenSSH 10.6p2 リリースノート、Alpine Linux の告知、sshhole.com
2. Ruby on Rails Active Storage GHSA-f3w6-w445-fwh9 — 画像の解析で、任意のファイルを書き込み・読み出され得る
Rails のファイル添付機能である Active Storage の、画像解析の処理に関する欠陥である。GitHub のセキュリティアドバイザリ（rails/rails、11月4日公開）の題名は「Possible arbitrary file write and read in Active Storage image analysis」で、CVE は採番されていない。深刻度は CVSS 3.0 で 9.8（Critical）である。
仕組みは次のとおりである。画像処理の ImageMagick は、ファイル名ではなく中身を見て、どのコーダー（変換処理）で扱うかを決める。Active Storage は、アップロードされたファイルがどのコーダーに届くかを制限しておらず、ファイルを添付した時点で解析（analyzer）が走る。その結果、任意のファイルの書き込みが可能になり、Disk サービスを使っている場合は読み出しも可能になる。読み出された場合は、secret_key_base や認証情報が漏れるおそれがある。
- 影響を受けるバージョン: activestorage 8.1 以上 8.1.4.1 未満、および 8.0.5.2 未満
- 修正版: 8.1.4.1 / 8.0.5.2
- 悪用: 実環境での悪用は報告されていない。アドバイザリによると、非公開で報告された攻撃の連鎖が1つあり、他の連鎖もあり得る。報道（Xalgorix）によれば、報告者は GMO Flatt Security の RyotaK である
- 影響条件（報道ベースの整理）: variant_processor が :mini_magick である（load_defaults 6.1 以前の既定）、ImageMagick のポリシーが該当コーダーを禁止していない（Debian と Ubuntu の既定は禁止していない）、信頼できない利用者からのアップロードを受け付けている。報道によれば、mini_magick を使うアプリでは mini_magick 5.1 以上も条件になる
- Rails 8.0 のセキュリティ修正は11月7日までと、報道は伝えている
公式の回避策は、Rails に同梱の activestorage/lib/active_storage/image_magick/policy.xml のルールを、システムの ImageMagick のポリシーへコピーすることである。最低でも、MSL コーダー、Ghostscript コーダー、gs デリゲートを拒否する。Disk サービスで添付ファイルを保存していた場合は、secret_key_base など、プロセスが読める秘密情報を入れ替える。確認は次のとおり。
# activestorage の版を確認
bundle exec gem list activestorage
grep -n 'activestorage ' Gemfile.lock
# 読み込まれている ImageMagick のポリシーを確認（報道ベースの確認方法）
bin/rails runner 'puts MiniMagick.identify { |i| i.list "policy" }'平易に言うと、利用者がアップロードした画像を「ただ受け取る」だけの処理が、サーバー上のファイルを読み書きされる入口になり得る、という話である。Rails の利用が分からない場合は、開発を委託した会社に「Ruby on Rails で作っているか、ファイルのアップロードを受け付けているか」を尋ねるのが近道である。公式: GitHub アドバイザリ GHSA-f3w6-w445-fwh9、補足（報道）: Xalgorix の週次まとめ
3. Barracuda Email Security Gateway CVE-2026-116606 / CVE-2026-111560 — 2つの欠陥の連鎖に注意
Barracuda の公式アドバイザリ（11月2日公開。11月5日に CVE-2026-116606 の認証要否の欄を更新）に載った2件である。CVE-2026-116606 は認証前の認可バイパスで、Barracuda の評価は High、CVSS は 9.3、対象は Email Security Gateway（ESG）のみである。認証は不要だが、管理画面に到達できることが前提になる。報道によれば、9.4.0.030 より前の ESG 全モデルが対象で、設定のインポート機能に細工したバックアップを復元させられる（CWE-288）。
CVE-2026-111560 はコマンドインジェクションで、Barracuda の評価は High、CVSS は 8.6、管理者権限が必要である。対象は ESG、Load Balancer ADC、Message Archiver、WAF Control Center、Web Application Firewall、Web Security Gateway である。BleepingComputer の報道によれば、この2つを連鎖させると、認証なしで root として任意のコマンドを実行され得る。
- パッチ ID: ESG は BNSF-40425（9.4.017 以降）/ BNSF-40430（9.4.017 未満）、Load Balancer ADC は BNADC-16586、Message Archiver は BNMA-32468、WAF Control Center は BNWF-60060、Web Application Firewall は BNADC-16586、Web Security Gateway は BNYF-24789
- 悪用: 公式・報道とも、実環境での悪用は報告していない。背景として、2023年には ESG の CVE-2023-2868 が悪用された経緯がある
- 対処: 最新のファームウェアへ更新して版を確認する。各パッチ ID が自動で適用されていなければ手動で適用する。管理画面を信頼できる内部ネットワークに限る。自動パッチを有効にする
平易に言うと、メールの入口に置く専用機器が、管理画面に届く人なら乗っ取れる状態になり得る、ということである。管理画面をインターネットに出していなければリスクは下がるが、パッチは適用しておく。公式: Barracuda アドバイザリ、BleepingComputer
非IT担当者向け: 今日やることチェックリスト
- 社内のサーバーやクラウドで Alpine Linux、Alpine ベースのコンテナ、OpenWrt のルーターを使っているか、担当者や導入業者に聞く。Debian、Ubuntu、RHEL などだけなら、OpenSSH の件は対象外
- 該当すれば、OpenSSH を修正版へ更新して sshd を再起動する。更新できない間は、鍵ログインを確認したうえでパスワード認証を無効にする
- 対象だった場合は、ログに "Accepted password for" の不審な記録、見覚えのないユーザーや authorized_keys の変更がないかを確認する
- 自社のウェブサービスやシステムが Ruby on Rails で作られていて、ファイルのアップロードを受け付けているかを、開発会社に聞く。該当すれば Rails 8.1.4.1 / 8.0.5.2 以降への更新を依頼する
- Barracuda の Email Security Gateway などを使っていれば、最新のファームウェアとパッチが適用されているか、管理画面が社内の限られた端末からしか開けないかを確認する
- 確認と更新の結果（日付、版、実施者）を一枚のメモに残し、次の棚卸しに使う
関連記事
出典
- CVE レコード: CVE-2026-123158
- OpenSSH 10.6p2 リリースノート
- Alpine Linux: OpenSSH のパスワード認証回避（2026年11月5日）
- sshhole.com
- GitHub アドバイザリ: GHSA-f3w6-w445-fwh9（Rails Active Storage）
- Xalgorix: Weekly AppSec Threat Digest（Oct 30 - Nov 6, 2026）
- Barracuda: 認証前の認可バイパスとコマンドインジェクション
- BleepingComputer: Barracuda warns of critical flaws allowing root access to devices
よくある質問
うちの Ubuntu サーバーは OpenSSH の件の対象ですか。
通常は対象外です。Ubuntu、Debian、RHEL などは glibc を使い、PAM を使う構成（UsePAM yes）が一般的で、今回の欠陥は musl libc を使い PAM を使わない sshd で起きます。念のため ldd $(which sshd) | grep -i musl で musl と出ないことを確認すると確実です。
Docker コンテナは対象ですか。
Alpine ベースのイメージで sshd を動かしている場合は対象になり得ます。sshd を動かしていないコンテナは影響しません。Alpine のベースイメージでは root のパスワード欄が "*" のため、条件が重なる可能性があります。コンテナ内で sshd を動かしているか、まず確認してください。
Rails を使っているか分からない場合はどうすればよいですか。
システムを作った会社や担当者に、Ruby on Rails で作られているか、利用者からのファイルアップロードを受け付けているかを尋ねるのが近道です。Gemfile.lock があれば activestorage の版を見られます。Rails を使っていなければ、この件は対象外です。
悪用は確認されていますか。
本日の3件とも、実環境での悪用は報告されていません。OpenSSH は実証コードが公開されており、CISA の評価は Exploitation=PoC です。悪用が始まる前に更新するのが安全です。
この記事に関連する無料ツール（登録不要・その場で結果）
お気軽にご相談ください
お問い合わせ