La seguridad informática a menudo se enfrenta a una paradoja compleja: medidas diseñadas para blindar un sistema pueden, bajo circunstancias muy específicas, convertirse en la puerta de entrada para vulnerabilidades inesperadas. Esto es exactamente lo que ha ocurrido con *sshole, una falla de seguridad registrada bajo el identificador CVE-2026-123158, que ha permanecido oculta durante aproximadamente una década en determinados entornos Linux.
¿Cómo funciona la vulnerabilidad?
El fallo afecta principalmente a configuraciones de Alpine Linux que combinan el protocolo OpenSSH con la biblioteca de sistema musl, prescindiendo además del mecanismo PAM (Pluggable Authentication Modules). En condiciones normales, cuando una cuenta está configurada para no aceptar contraseñas —indicado mediante un asterisco (*) en el archivo de gestión—, el sistema debería rechazar cualquier intento de autenticación por esta vía.
Sin embargo, la investigación dirigida por el experto Özgün Kültekin demostró que, al procesar contraseñas inusualmente largas (de entre 257 y 1.024 bytes), la biblioteca musl devuelve un asterisco como código de error. OpenSSH interpreta erróneamente este símbolo como una coincidencia con la cuenta protegida, permitiendo un acceso indebido que eludiría los controles de seguridad establecidos.
Alcance y contramedidas urgentes
Aunque el fallo requiere una combinación muy concreta de factores técnicos —como la presencia de otra cuenta local con hashes SHA-256 o SHA-512 y la falta de PAM—, las consecuencias pueden ser devastadoras si el acceso no autorizado recae sobre cuentas con privilegios de administrador. De hecho, firmas de ciberseguridad ya han reportado intentos activos de explotación en entornos de prueba.
Ante esta situación, tanto OpenSSH como Alpine Linux han lanzado parches de emergencia (versión OpenSSH 10.6p2 y actualizaciones correspondientes). Los expertos recuerdan que no basta con instalar las actualizaciones, sino que es estrictamente necesario reiniciar el servicio SSH, o bien deshabilitar por completo la autenticación por contraseña como medida provisional de mitigación.