OpenSSH の脆弱性「SSHole」（CVE-2026-123158、CVSS 8.1）は、もはや研究段階の話ではありません。脅威インテリジェンス企業 Previdian は、最初の悪用の試みを CVE 公開から9時間足らずで観測し、本物の Alpine Linux と OpenSSH を動かすハニーポットで root 権限の取得を確認したと発表しました。修正版の OpenSSH 10.6p2 は2026年11月5日に公開されています。
攻撃者の動き：Help Net Security によると、初期の試みは Previdian が日本に関連付けた1つの IP アドレスからで、極端に長いパスワードで認証を突破したあと、非対話型の SSH セッションで id、uname、hostname を実行しました。Previdian は当初、このアドレスからの試みを1台のセンサーで8件確認したとしていました。11月6日に更新された同社の CVE ページでは、3か国（スイス、日本、シンガポール）の3つの IP アドレスからの試みが2台のセンサーで観測され、最初は 00:05 UTC と記載されています。同ページは、試みがあったことだけでは対象が脆弱だったかどうかはわからないとしています。件数は報道によって異なるため、初期の数字として扱ってください。Help Net Security の記事公開時点で、CISA はこの脆弱性を KEV カタログに追加していませんでした。
影響を受ける環境：10.6p2 より前の OpenSSH を、musl libc を使い、PAM でパスワードを確認しない Linux で動かしている場合です。Alpine Linux の標準の openssh-server が該当し、発見者の Özgün Kültekin 氏は OpenWrt、Buildroot、Yocto、各種 Docker イメージも挙げています。攻撃には、パスワードログインが有効（OpenSSH の既定値）であること、パスワード欄が * のアカウント（root、鍵認証専用のデプロイ用ユーザー、LDAP ユーザー、Alpine の AWS・Azure イメージの既定ユーザーなど）があること、パスワードハッシュを持つ別のローカルアカウントがあることが必要です。条件がそろうと、こうしたアカウントが256文字を超える任意のパスワードを受け入れてしまいます。発見者によると、Debian、Ubuntu、Fedora などの glibc 系、PAM を使う構成、Dropbear、OpenBSD は影響を受けません。
root が問題になる理由：OpenSSH の既定の PermitRootLogin 設定では、管理者が変更していない限り root での直接ログインはできません。Help Net Security は、より大きなリスクとして Alpine 公式の AWS・Azure 向け tiny-cloud イメージ（3.18.11〜3.24.3）を挙げています。既定の alpine ユーザーはパスワードなしで doas を使えるため、そのまま root になれます。
OpenSSH 開発者の Damien Miller 氏は、AI エージェントによるバグの再発見が速くなっているため急いでリリースしたと説明しています。GitHub には概念実証（PoC）コードが公開されていますが、Previdian は未検証でマルウェアを含む可能性があると警告しています。公開サーバーの状態は Watchpost の無料スキャンで確認できます。
