OpenSSHの脆弱性により、攻撃者がパスワード認証無効なLinuxアカウントへログイン可能に
BleepingComputer – November 5, 2026
OpenSSHとmuslライブラリに関連する新たな脆弱性「*sshole」が公表された。この脆弱性を悪用すると、パスワード認証を無効にしたAlpine LinuxなどのLinuxシステムにおいて、非常に長いパスワードを入力するだけで攻撃者にアカウントへのログインを許す恐れがあるという。
この脆弱性はmusl Cライブラリを採用したLinuxディストリビューション（Alpine Linux、OpenWrt、Buildroot、Yoctoなど）上で動作するOpenSSHサーバーにおいて、特定の認証設定がなされている場合にのみ影響を及ぼす。この不具合は2016年から存在し、musl Cライブラリを使ったシステムでOpenSSHがパスワード検証エラーを処理する方法に起因するようだ。
*ssholeを発見し、詳細を公表したセキュリティ研究者のOzgun Kultekin氏は、悪用に必要な条件として以下を挙げている。
Alpine Linux、OpenWrt、Buildroot、YoctoなどmuslベースのLinuxシステム上でOpenSSHが動作しているPAM認証が無効（Alpine Linuxの「openssh-server」パッケージはデフォルトで無効）かつSSHのパスワード認証が有効になっている少なくとも1件のアカウントでパスワードハッシュがアスタリスク（*）になっている別のアカウントに有効なパスワードハッシュが設定されている
同氏によると、Alpine Linuxの公式AWSおよびAzureクラウドイメージにはパスワードなしで「doas」特権を行使できるデフォルトアカウント「alpine」があり、これがこの脆弱性の影響を受ける模様。攻撃者はこれを使ってroot権限を取得できるそうだ。ただし、DebianやUbuntu、Fedoraなどglibcを使用するシステム、さらにPAM認証を利用するシステムは、この攻撃に対して脆弱ではないと説明されている。
この問題はAIエージェントを使って発見されたそうで、OpenSSHの設定を変更したり、不正な形式のパスワードハッシュや非常に長いパスワードを使用したりするなど、約1万7,600回もの認証テストが実行されたという。また、脆弱性自体はOpenSSH 10.6p2で修正されており、Alpine Linuxの管理者は「apk upgrade openssh」コマンドでOpenSSHパッケージをアップデートすることが推奨されている。
DigiCertがデータ侵害を公表 顧客情報や身分証明書類がネット上に露出
BleepingComputer – November 5, 2026
米認証局DigiCertがデータ侵害の発生を公表した。2025年2月に行われたサーバー移行の際、内部業務システムが誤ってインターネット上に露出し、顧客情報や身分証明書類への不正アクセスを許したと説明されている。
影響を受けたのは顧客データの一部とされ、氏名、業務用のメールアドレス、電話番号、勤務先の住所などが含まれるとのこと。一部の対象者については、流出したレコードに運転免許証、パスポート、公共料金の請求書といった個人を特定できる情報も含まれていたという。影響を受けた人数などの詳細は明らかにされていない。
今年6月、DigiCertは公開状態になっていたシステム上に不正なアカウントが存在することを発見したが、当時はそれらのアカウントがどのアプリケーションにも割り当てられていなかったため、顧客情報にはアクセスできないと判断。しかし、その後にセキュリティ調査プログラムを介し、外部ユーザーが当該システム上でアカウントを作成できてしまうとの報告を受けたそうだ。
DigiCertは同システムへのアクセスを制限し、この問題に対処する修正を施したが、その時点ではアーカイブされたデータへの不正アクセスに気付いていなかった模様。そして10月19日の詳細な調査により、2026年6月27日〜7月2日に不正なアカウントが顧客情報にアクセスしていたことを確認している。この不正アカウントには読み取り専用の権限しかなく、レコードの改ざんや証明書検証の承認、証明書の発行を行うことは不可能だったとされる。
現在では影響を受けたシステムへのアクセスを制限し、自己登録機能を無効化したほか、アクセス制御を強化する措置を講じているようだ。なお、DigiCertのサービスやCertCentralおよびDigiCert ONEプラットフォームは侵害されておらず、顧客のログイン情報や発行済みの証明書も安全な状態と発表されている。