[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/openssh-sshole-cve-2026-123158-alpine-contrasena-larga":3,"prev-/blog/noticias/openssh-sshole-cve-2026-123158-alpine-contrasena-larga":654,"next-/blog/noticias/openssh-sshole-cve-2026-123158-alpine-contrasena-larga":657,"related-/blog/noticias/openssh-sshole-cve-2026-123158-alpine-contrasena-larga":660,"author-Diego Herrera":681},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":603,"cta":604,"date":610,"dateModified":610,"description":611,"draft":612,"extension":613,"faq":614,"featured":612,"howto":630,"image":631,"imageAlt":632,"intent":633,"keywords":634,"meta":640,"navigation":641,"path":642,"publishedTime":643,"readingTime":644,"seo":645,"seoTitle":646,"stem":647,"tags":648,"__hash__":653},"blog/blog/noticias/openssh-sshole-cve-2026-123158-alpine-contrasena-larga.md","SSHole: en servidores Alpine, una contraseña de más de 256 caracteres abre SSH sin conocer la clave; OpenSSH 10.6p2 lo corrige y se esperan escaneos este fin de semana","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":591},"minimark",[11,40,47,52,68,78,154,161,165,180,232,246,249,252,256,269,276,280,283,377,385,389,396,419,422,434,438,548,552,579,582],[12,13,14,15,19,20,23,24,27,28,31,32,35,36,39],"p",{},"El jueves 5 de noviembre, el proyecto OpenSSH publicó la versión ",[16,17,18],"strong",{},"10.6p2"," con lo que sus propias notas llaman un \"arreglo crítico\" para sistemas Linux que usan la librería ",[16,21,22],{},"musl"," y tienen ",[16,25,26],{},"PAM desactivado",". La falla ya tiene número, ",[16,29,30],{},"CVE-2026-123158",", y apodo: ",[16,33,34],{},"SSHole",". El viernes 6 la retomaron medios como SecurityWeek, y ahí dos investigadores advirtieron que los escaneos en busca de servidores vulnerables podían empezar en horas, con intentos de ataque ",[16,37,38],{},"este mismo fin de semana",".",[12,41,42,43,46],{},"Si tu empresa tiene un servidor, un VPS o un contenedor con ",[16,44,45],{},"Alpine Linux"," y SSH abierto a internet, este sábado conviene revisarlo.",[48,49,51],"h2",{"id":50},"qué-pasa-exactamente","Qué pasa exactamente",[12,53,54,55,59,60,63,64,67],{},"El servidor SSH (sshd) revisa la contraseña con una función del sistema llamada ",[56,57,58],"code",{},"crypt()",". En la librería musl, cuando la contraseña es muy larga, esa función devuelve un asterisco (",[56,61,62],{},"*","). Y en muchos sistemas, el asterisco es justamente lo que aparece en el archivo de contraseñas de las cuentas ",[16,65,66],{},"que no tienen contraseña",". Resultado: sshd compara asterisco contra asterisco y deja pasar.",[12,69,70,71,74,75,39],{},"En palabras del registro oficial de la CVE: en ciertas configuraciones de cuentas, ",[16,72,73],{},"cualquier contraseña de entre 256 y 1,024 caracteres es aceptada",". El aviso de Alpine habla de 257 a 1,024 bytes; la diferencia es de un carácter y no cambia nada práctico. No se necesita fuerza bruta: según Alpine, basta ",[16,76,77],{},"un solo intento",[79,80,81,94],"table",{},[82,83,84],"thead",{},[85,86,87,91],"tr",{},[88,89,90],"th",{},"Dato",[88,92,93],{},"Detalle",[95,96,97,106,114,122,130,138,146],"tbody",{},[85,98,99,103],{},[100,101,102],"td",{},"CVE",[100,104,105],{},"CVE-2026-123158 (\"SSHole\")",[85,107,108,111],{},[100,109,110],{},"Producto",[100,112,113],{},"sshd de OpenSSH antes de 10.6p2, en Linux con musl y sin PAM",[85,115,116,119],{},[100,117,118],{},"Versión corregida",[100,120,121],{},"OpenSSH 10.6p2 (5 de noviembre de 2026)",[85,123,124,127],{},[100,125,126],{},"Severidad",[100,128,129],{},"8.1 (alta), CVSS 3.1, asignada por MITRE",[85,131,132,135],{},[100,133,134],{},"Quién la reportó",[100,136,137],{},"Özgün Kültekin, de Wakefield",[85,139,140,143],{},[100,141,142],{},"¿En el catálogo KEV de CISA?",[100,144,145],{},"No, al cierre de esta nota",[85,147,148,151],{},[100,149,150],{},"Plataforma de ejemplo",[100,152,153],{},"Alpine Linux, cuyo paquete openssh-server viene sin PAM",[12,155,156,157,160],{},"OpenSSH aclara que considera que la causa de fondo está ",[16,158,159],{},"fuera de sshd"," (en la librería), pero que se puede explotar a través de sshd y por eso la cerró ahí.",[48,162,164],{"id":163},"mi-servidor-es-vulnerable","¿Mi servidor es vulnerable?",[12,166,167,168,175,176,179],{},"El ",[169,170,174],"a",{"href":171,"rel":172},"https://alpinelinux.org/posts/2026-11-05-openssh-password-authentication-bypass/",[173],"nofollow","aviso de Alpine"," pide que se cumplan ",[16,177,178],{},"todas"," estas condiciones:",[181,182,183,194,207,221],"ol",{},[184,185,186,187,190,191,39],"li",{},"Usas el paquete ",[56,188,189],{},"openssh-server"," sin PAM, o la variante con PAM pero con ",[56,192,193],{},"UsePAM no",[184,195,196,199,200,203,204,39],{},[56,197,198],{},"PasswordAuthentication"," está en ",[56,201,202],{},"yes",", que es ",[16,205,206],{},"el valor de fábrica",[184,208,209,210,212,213,216,217,220],{},"Hay al menos una cuenta cuyo campo de contraseña es ",[56,211,62],{},". Ahí entran ",[56,214,215],{},"root"," en las imágenes base desde aproximadamente la 3.16, los usuarios que solo entran con llave SSH, los usuarios que vienen de un directorio (LDAP o Active Directory vía sssd, winbind o nslcd) y el usuario ",[56,218,219],{},"alpine"," de las imágenes de nube.",[184,222,223,224,227,228,231],{},"Hay al menos una cuenta local con contraseña real (un hash que empieza con ",[56,225,226],{},"$5$"," o ",[56,229,230],{},"$6$",").",[12,233,234,237,238,241,242,245],{},[16,235,236],{},"No"," están afectados, según Alpine: los contenedores que no corren sshd, los sistemas con ",[56,239,240],{},"PasswordAuthentication no",", las cuentas bloqueadas con ",[56,243,244],{},"!"," y las imágenes con cloud-init que ya apagan las contraseñas.",[12,247,248],{},"Fuera de Alpine, el registro de la CVE cubre cualquier Linux con musl y OpenSSH sin PAM. Eso incluye firmware armado con Buildroot o Yocto si trae OpenSSH. Red Hat indicó que sus productos no están afectados porque usan glibc y PAM; Debian y Ubuntu tampoco lo están en una instalación normal.",[250,251],"ad-banner",{},[48,253,255],{"id":254},"el-caso-que-más-preocupa-imágenes-de-nube","El caso que más preocupa: imágenes de nube",[12,257,258,259,262,263,265,266,268],{},"Alpine advierte que sus imágenes oficiales de nube (las que se usan en AWS, Azure o en hipervisores locales) publicadas ",[16,260,261],{},"de la 3.18.11 a la 3.24.3"," traen un usuario ",[56,264,219],{}," sin contraseña y con permiso para volverse administrador sin pedir clave. Son seguras al primer arranque, pero si alguien le pone contraseña a cualquier otra cuenta, el usuario ",[56,267,219],{}," queda expuesto y, desde ahí, el control total de la máquina está a un comando.",[12,270,271,272,275],{},"Las imágenes construidas desde las versiones ",[16,273,274],{},"3.21.10, 3.22.8, 3.23.8 y 3.24.4"," ya traen el paquete corregido.",[48,277,279],{"id":278},"versiones-corregidas-de-alpine","Versiones corregidas de Alpine",[12,281,282],{},"Alpine sacó paquetes corregidos para todas sus ramas, incluso las que ya no tienen soporte:",[79,284,285,295],{},[82,286,287],{},[85,288,289,292],{},[88,290,291],{},"Rama de Alpine",[88,293,294],{},"Paquete openssh corregido",[95,296,297,305,313,321,329,337,345,353,361,369],{},[85,298,299,302],{},[100,300,301],{},"edge",[100,303,304],{},"10.6_p2-r0",[85,306,307,310],{},[100,308,309],{},"3.24",[100,311,312],{},"10.3_p1-r2",[85,314,315,318],{},[100,316,317],{},"3.23",[100,319,320],{},"10.2_p1-r1",[85,322,323,326],{},[100,324,325],{},"3.22",[100,327,328],{},"10.0_p1-r11",[85,330,331,334],{},[100,332,333],{},"3.21",[100,335,336],{},"9.9_p2-r1",[85,338,339,342],{},[100,340,341],{},"3.20",[100,343,344],{},"9.7_p1-r6",[85,346,347,350],{},[100,348,349],{},"3.19",[100,351,352],{},"9.6_p1-r3",[85,354,355,358],{},[100,356,357],{},"3.18",[100,359,360],{},"9.3_p2-r4",[85,362,363,366],{},[100,364,365],{},"3.17",[100,367,368],{},"9.1_p1-r7",[85,370,371,374],{},[100,372,373],{},"3.16",[100,375,376],{},"9.0_p1-r6",[12,378,379,380,384],{},"Que haya parche para la 3.21 no cambia lo que contamos hace unos días: esa rama ",[169,381,383],{"href":382},"/blog/noticias/alpine-3-21-python-3-10-sin-parches-contenedores","se quedó sin parches el 1 de noviembre"," y el plan sigue siendo migrar.",[48,386,388],{"id":387},"ya-hay-ataques","¿Ya hay ataques?",[12,390,391,392,395],{},"Las fuentes coinciden en que ",[16,393,394],{},"todavía no"," se han reportado ataques reales:",[397,398,399,405,412],"ul",{},[184,400,401,404],{},[16,402,403],{},"CISA"," no la ha metido a su catálogo de vulnerabilidades explotadas (KEV); su revisión automática la marca con prueba de concepto disponible e impacto técnico total.",[184,406,407,408,411],{},"Desde el ",[16,409,410],{},"5 de noviembre"," hay al menos un repositorio público en GitHub para reproducir la falla, y ese mismo día el escáner de código abierto de Google agregó la detección de CVE-2026-123158.",[184,413,414,415,418],{},"En la nota de ",[16,416,417],{},"SecurityWeek del 6 de noviembre",", Fredrik Almroth, de Detectify, recordó que Shodan ve unos 22 millones de equipos con SSH en el puerto 22 y anticipó escaneos en cuestión de horas; Jake Knott, de watchTowr, dijo esperar intentos de ataque durante el fin de semana.",[12,420,421],{},"Esos 22 millones son todos los SSH visibles, no los vulnerables: nadie ha publicado cuántos corren Alpine sin PAM. Pero con una falla que se explota en un intento, no conviene esperar al lunes.",[423,424,427],"callout",{"icon":425,"title":426},"i-lucide-info","El aviso de fondo: más parches y más seguido",[12,428,429,430,433],{},"En las notas de esta versión, OpenSSH cuenta que recibe muchos reportes de fallas encontradas con ayuda de modelos de IA, y que ha visto casos en que un hallazgo así lo descubre después, por su cuenta, otro investigador. Por eso anunció que, por ahora, sacará versiones ",[16,431,432],{},"más seguido"," en lugar de juntar los arreglos. Para tu equipo de TI significa revisar actualizaciones de SSH con más frecuencia.",[48,435,437],{"id":436},"qué-hacer-hoy","Qué hacer hoy",[181,439,440,454,472,504,518,524],{},[184,441,442,445,446,449,450,453],{},[16,443,444],{},"Haz la lista."," Identifica servidores, VPS y contenedores con Alpine que corren sshd. En cada uno, ",[56,447,448],{},"cat /etc/alpine-release"," te da la versión y ",[56,451,452],{},"apk info -v openssh-server"," la del paquete. No olvides equipos que traen Linux por dentro y SSH habilitado: pregúntale al proveedor si usan musl y OpenSSH sin PAM.",[184,455,456,459,460,463,464,467,468,471],{},[16,457,458],{},"Actualiza y reinicia."," En Alpine: ",[56,461,462],{},"apk upgrade -U -a"," y después ",[56,465,466],{},"rc-service sshd restart",". Actualizar el paquete ",[16,469,470],{},"no"," reemplaza el proceso que ya está corriendo.",[184,473,474,477,478,481,482,484,485,487,488,491,492,495,496,499,500,503],{},[16,475,476],{},"Si no puedes actualizar, apaga las contraseñas."," Crea un archivo en ",[56,479,480],{},"/etc/ssh/sshd_config.d/"," con ",[56,483,240],{}," (Alpine lee esa carpeta desde la 3.19) y cambia a ",[56,486,470],{}," cualquier línea igual en ",[56,489,490],{},"/etc/ssh/sshd_config",", incluidas las de bloques ",[56,493,494],{},"Match",". Valida con ",[56,497,498],{},"sshd -t"," y reinicia. Antes, ",[16,501,502],{},"confirma que entras con llave"," y deja una sesión abierta.",[184,505,506,509,510,513,514,517],{},[16,507,508],{},"Comprueba."," ",[56,511,512],{},"sshd -T | grep -i passwordauthentication"," debe responder ",[56,515,516],{},"passwordauthentication no"," si aplicaste la mitigación.",[184,519,520,523],{},[16,521,522],{},"Reconstruye las imágenes de contenedor"," que incluyan sshd. Una imagen armada antes del parche sigue vulnerable aunque el servidor anfitrión esté al día.",[184,525,526,529,530,533,534,537,538,540,541,543,544,547],{},[16,527,528],{},"Busca huellas."," Alpine sugiere revisar en ",[56,531,532],{},"/var/log/messages"," los ",[56,535,536],{},"Accepted password for"," de cuentas que no deberían tener contraseña (",[56,539,219],{},", ",[56,542,215],{}," o usuarios que solo usan llave), además de usuarios nuevos, llaves autorizadas agregadas y uso de ",[56,545,546],{},"doas",". Si no puedes descartar un acceso, trata la máquina como comprometida.",[48,549,551],{"id":550},"la-lección-para-la-pyme","La lección para la PyME",[12,553,554,555,558,559,563,564,568,569,573,574,578],{},"Dejar SSH abierto a todo internet, y encima con contraseña, es una apuesta que pierde cada vez que sale una falla así. Lo sano es entrar ",[16,556,557],{},"solo con llaves",", limitar el puerto a las IP de la oficina o meterlo detrás de una ",[169,560,562],{"href":561},"/blog/comparativa/vpn-tradicional-vs-ztna","VPN o un acceso Zero Trust",". Y llevar un inventario de qué corre en cada contenedor, el mismo que esta semana hacía falta para ",[169,565,567],{"href":566},"/blog/noticias/node2shell-brotli-cve-2026-111497-plazo-cisa-10-noviembre","encontrar Brotli dentro de Node.js y .NET"," o para ",[169,570,572],{"href":571},"/blog/noticias/kernel-linux-cve-2026-98432-tcp-remota-critica-fragnesia","la falla del kernel de Linux de octubre",". Si tus contenedores salen de un ",[169,575,577],{"href":576},"/blog/tutorial/docker-compose-guia-completa","docker-compose",", reconstruirlos con la imagen nueva es cuestión de minutos.",[12,580,581],{},"Fuentes: notas de la versión 10.6p2 de OpenSSH (5 de noviembre), aviso de seguridad de Alpine Linux (5 de noviembre), mensaje en la lista oss-security de Openwall (5 de noviembre), registro CVE-2026-123158 de MITRE y su ficha en NVD, SecurityWeek (6 de noviembre) y GitHub.",[583,584],"call-to-action",{"description":585,"eyebrow":586,"icon":587,"label":588,"title":589,"to":590},"Revisamos qué servidores y equipos de tu empresa tienen SSH expuesto, aplicamos el parche o la mitigación y dejamos el acceso solo con llaves y desde donde debe ser.","Ciberseguridad","i-lucide-shield-alert","Agendar revisión","Cierra SSH antes de que lo encuentren","/contacto",{"title":592,"searchDepth":593,"depth":594,"links":595},"",2,3,[596,597,598,599,600,601,602],{"id":50,"depth":593,"text":51},{"id":163,"depth":593,"text":164},{"id":254,"depth":593,"text":255},{"id":278,"depth":593,"text":279},{"id":387,"depth":593,"text":388},{"id":436,"depth":593,"text":437},{"id":550,"depth":593,"text":551},"noticias",{"title":605,"description":606,"label":607,"to":608,"icon":609},"¿Tienes servidores Alpine o equipos con SSH abierto?","Revisamos qué servidores, VPS y equipos de tu empresa exponen SSH, aplicamos el parche o la mitigación y dejamos el acceso solo con llaves.","Ver servicio de servidores","/servicios/servidores","i-lucide-server","2026-11-07","OpenSSH 10.6p2 corrige SSHole: en Alpine y otros Linux con musl sin PAM, una contraseña larga entra a cuentas sin clave. Qué revisar y cómo mitigarlo hoy.",false,"md",[615,618,621,624,627],{"question":616,"answer":617},"¿Qué es SSHole?","Es el apodo de CVE-2026-123158, una falla que permite entrar por SSH sin conocer la contraseña en Linux con la librería musl (como Alpine) cuando OpenSSH corre sin PAM. Si el atacante manda una contraseña de entre 256 y 1,024 caracteres, sshd la acepta para ciertas cuentas que no tienen contraseña. OpenSSH la corrigió en la versión 10.6p2, publicada el 5 de noviembre de 2026.",{"question":619,"answer":620},"¿Mi servidor Ubuntu, Debian o Red Hat está afectado?","En instalaciones normales, no. Esas distribuciones usan glibc y PAM, y Red Hat declaró que sus productos no están afectados. El riesgo está en Alpine Linux y en otros sistemas basados en musl (por ejemplo, imágenes armadas con Buildroot o Yocto) que incluyan OpenSSH sin PAM.",{"question":622,"answer":623},"¿Los contenedores Docker basados en Alpine están en riesgo?","Solo si corren el servidor SSH (sshd) dentro del contenedor. Un contenedor Alpine que no ejecuta sshd no es vulnerable, según el aviso de Alpine. Pero si tienes imágenes con sshd, hay que reconstruirlas con el paquete corregido.",{"question":625,"answer":626},"¿Qué hago si no puedo actualizar hoy?","Desactiva la autenticación por contraseña en SSH con PasswordAuthentication no, valida la configuración con sshd -t y reinicia el servicio. Antes, comprueba que puedes entrar con llave SSH y deja una sesión abierta para no quedarte fuera.",{"question":628,"answer":629},"¿Ya la están explotando?","Al 6 de noviembre no había reportes públicos de explotación y la falla no está en el catálogo KEV de CISA. Pero ya hay un repositorio público para reproducirla, el escáner de código abierto de Google añadió su detección el 5 de noviembre, y watchTowr dijo a SecurityWeek que espera intentos de ataque este fin de semana.",null,"/images/blog/noticias/openssh-sshole-cve-2026-123158-alpine-contrasena-larga.jpg","Terminal de un servidor Linux con el archivo sshd_config abierto y la línea PasswordAuthentication cambiada a no","informational",[635,636,637,638,639],"sshole openssh","cve-2026-123158","openssh 10.6p2","alpine linux ssh vulnerabilidad","musl pam passwordauthentication",{},true,"/blog/noticias/openssh-sshole-cve-2026-123158-alpine-contrasena-larga","2026-11-07T15:30:00-06:00",6,{"title":5,"description":611},"SSHole (CVE-2026-123158): parcha SSH en Alpine ya","blog/noticias/openssh-sshole-cve-2026-123158-alpine-contrasena-larga",[649,650,651,652],"ciberseguridad","vulnerabilidades","servidores","linux","U-YgnCMJ0kYjHBgGpCSy2_D4gBGsPkHAR-iChk4CBvg",{"path":655,"title":656},"/blog/noticias/vmware-esx-cve-2026-41709-registro-kev-11-noviembre","VMware ESX: una falla que deja actuar a un administrador sin dejar rastro ya se explota; CISA fija el 11 de noviembre",{"path":658,"title":659},"/blog/noticias/fortianalyzer-fortimanager-fin-soporte-30-diciembre-bitacoras","FortiAnalyzer y FortiManager: tres modelos se quedan sin soporte el 30 de diciembre y varios más ya vencieron en julio",[661,669,675],{"path":662,"title":663,"description":664,"date":665,"category":603,"image":666,"imageAlt":667,"readingTime":668},"/blog/noticias/patch-tuesday-noviembre-2026-hotpatch-server-2022-reinicio-vpn","Patch Tuesday del 10 de noviembre: Windows Server 2022 con hotpatch sí reinicia y el arreglo de Always On VPN llega con retraso","El 10 de noviembre los servidores Windows Server 2022 con hotpatch deben reiniciar, y en diciembre también. Always On VPN ya tiene arreglo. Qué preparar.","2026-11-09","/images/blog/noticias/patch-tuesday-noviembre-2026-hotpatch-server-2022-reinicio-vpn.jpg","Rack de servidores en un cuarto de TI con un monitor que muestra una ventana de mantenimiento programada para reiniciar después de instalar actualizaciones",5,{"path":670,"title":671,"description":672,"date":665,"category":603,"image":673,"imageAlt":674,"readingTime":668},"/blog/noticias/gemini-2-5-pro-flash-apagado-1-diciembre-redireccion-automatica","Gemini 2.5 Pro y 2.5 Flash dejan de existir en la API el 1 de diciembre: Google mandará tus llamadas a otro modelo sin preguntar","Desde el 1 de diciembre, la API de Gemini manda las llamadas de 2.5 Pro a 3.8 Flash y las de 2.5 Flash a 3.5 Flash-Lite, con su precio. Qué revisar.","/images/blog/noticias/gemini-2-5-pro-flash-apagado-1-diciembre-redireccion-automatica.jpg","Editor de código con una llamada a la API de Gemini y una flecha que desvía la petición de un modelo a otro",{"path":676,"title":677,"description":678,"date":665,"category":603,"image":679,"imageAlt":680,"readingTime":668},"/blog/noticias/dynamics-nav-2017-fin-soporte-11-enero-business-central","Dynamics NAV 2017 se queda sin soporte el 11 de enero de 2027: el camino a Business Central tiene tres escalas","Microsoft termina el soporte extendido de Dynamics NAV 2017 el 11 de enero de 2027. NAV 2016 ya venció y NAV 2018 sigue un año. Rutas, costos y qué decidir.","/images/blog/noticias/dynamics-nav-2017-fin-soporte-11-enero-business-central.jpg","Pantalla de un ERP antiguo con menús grises junto a una laptop con un tablero moderno de Business Central, sobre un escritorio de contabilidad",{"id":682,"avatar":630,"bio":683,"entityType":684,"expertise":685,"extension":686,"meta":687,"name":6,"role":688,"slug":689,"social":630,"stem":690,"url":7,"__hash__":691},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]