OpenSSH 10.6p2 緩解密碼認證繞過：使用 musl 且停用 PAM 的 Linux 須處理
情報摘要
OpenSSH 於 2026 年 11 月 5 日推出 Portable OpenSSH 10.6p2，緩解使用 musl libc 且停用 PAM 的部分 Linux 系統可經 sshd 觸發的密碼認證繞過。維護者提醒，編譯時支援 PAM、但執行時設定 UsePAM no 的系統亦在影響範圍內；不應將此問題概括為所有 Linux 或所有 SSH 伺服器均受影響。
維護者 Damien Miller 以 Alpine Linux 作為使用 musl 且沒有 PAM 的例子，並明確表示非 Linux、使用 glibc 的 Linux，以及以 PAM 驗證密碼的 Linux 不受此問題影響。僅在編譯時加入 PAM 支援並不足以排除風險，仍須確認執行時的設定。
官方認為根因位於 sshd 以外，但問題可經 sshd 利用，因此在 OpenSSH 提供緩解。本頁不據此判定另一個元件須負責，也不提供利用方法。
受影響產品
Portable OpenSSH sshd；使用 musl libc、未透過 PAM 驗證密碼的 Linux 環境。10.6p2 提供緩解；公告未列出完整受影響舊版本起點。
適用讀者
管理 musl Linux、Alpine Linux 或相關容器內 SSH 密碼登入服務的系統及雲端維運人員。
建議行動
先確認主機的 libc、PAM 及 SSH 密碼認證設定。對符合條件的系統，依維護者建議立即停用 PasswordAuthentication，或暫停 SSH 服務；安排維護及替代管理通道以免失去存取權。盡快部署 Portable OpenSSH 10.6p2，或發行版確認包含相同緩解的更新套件，並核實實際運行服務已採用更新及設定。
風險評級依據
OpenSSH 官方將 10.6p2 此項緩解措施稱為 critical security workaround；本頁沿用官方定性，並非自訂 CVSS 分數。所核對公告未列出此問題的 CVSS 分數。
解讀限制
所核對的官方資料未提供此問題的 CVE 編號或完整受影響版本起點；不能只按作業系統名稱判定風險。
所核對來源未確認已發生野外利用。
未有已核實的香港受影響機構或主機數字；本頁是適用於相關配置的防護提示，並非香港事故通報。
資料來源
本機收藏只保存在此瀏覽器，不會自動同步或分享。