Previdian ha comunicado intentos de explotación de CVE-2026-123158, una vulnerabilidad de autenticación que afecta a determinadas instalaciones de OpenSSH en Linux. En la consulta del 7 de noviembre, su página pública mostraba 17 intentos observados, 11 direcciones IP y ocho países asociados a esas direcciones. La firma sitúa la primera observación el día 6 y la más reciente, el 7.
La propia página precisa el alcance de esos datos: observar un intento no demuestra que el equipo atacado fuera vulnerable ni que el acceso tuviera éxito. La localización de las direcciones tampoco identifica por sí sola a los responsables. Son cifras de los sensores de esa empresa, no un recuento de todos los ataques o equipos afectados en el mundo.
Una exposición ligada a la configuración
El aviso de Alpine explica que el problema aparece en ciertas combinaciones del servidor SSH con la biblioteca musl, sin el sistema de autenticación PAM y con acceso por contraseña habilitado. También interviene la configuración de las cuentas. Por ello, utilizar Linux, Alpine o una conexión SSH no basta para afirmar que un equipo concreto sea vulnerable.
La distribución excluye expresamente varios supuestos, como los contenedores que no ejecutan el servidor SSH y los sistemas con autenticación por contraseña desactivada. También distingue los servidores con PAM activado. Estos límites evitan presentar la incidencia como un fallo universal de cualquier instalación de OpenSSH o de cualquier contenedor basado en Alpine.
Corrección publicada y reinicio del servicio
OpenSSH publicó la versión portable 10.6p2 el 5 de noviembre con una medida para evitar la elusión de autenticación. Alpine distribuyó paquetes corregidos para sus ramas, incluidas varias antiguas. Su aviso indica que actualizar el paquete por sí solo no reemplaza el proceso que ya está ejecutándose: hay que reiniciar el servicio para que utilice el programa corregido.
Para quienes administran estos servidores, las referencias son las notas oficiales de OpenSSH y el aviso de su distribución, que detallan las versiones aplicables. La actividad observada por Previdian refuerza la necesidad de comprobar la exposición, pero no permite declarar comprometida una máquina sin examinarla ni sustituye la revisión de su configuración y sus registros.
