CVE-2026-123158: explotación activa de una vulnerabilidad en OpenSSH sobre Linux
Una vulnerabilidad de OpenSSH está siendo explotada para obtener acceso root en determinados dispositivos Linux. El fallo, identificado como CVE-2026-123158, solo se activa cuando coinciden varias condiciones de software y configuración, pero firmas de seguridad han comunicado actividad de explotación. Los equipos que administran servidores SSH expuestos a Internet deberían comprobar si están afectados y aplicar la actualización correspondiente.
El problema no afecta indistintamente a cualquier instalación de Linux con SSH. Según la información publicada por Ars Technica sobre la vulnerabilidad, el fallo aparece cuando OpenSSH se ejecuta con musl, una biblioteca de funciones estándar de C alternativa a glibc, y no utiliza PAM, el sistema modular que gestiona la autenticación y el acceso a cuentas.
La combinación de condiciones que activa el fallo
Además de esa combinación de OpenSSH, musl y ausencia de PAM, la configuración debe reunir dos características. Tiene que existir al menos una cuenta accesible mediante contraseña cuyo hash se haya calculado con SHA-256 o SHA-512. También debe haber cuentas configuradas sin contraseña mediante un asterisco en el campo correspondiente de /etc/shadow. Este tipo de configuración es habitual para ciertas cuentas, aunque su presencia no implica por sí sola que un sistema sea vulnerable.
El ataque aprovecha el modo en que se procesa una contraseña excesivamente larga. El atacante introduce una cadena de más de 256 caracteres al intentar autenticarse con una cuenta sin contraseña. En el flujo descrito, el servidor OpenSSH calcula el hash de esa entrada y lo compara con el valor almacenado en /etc/shadow. La función de hash de contraseñas de musl devuelve entonces un asterisco como resultado de un error.
El fallo está en cómo se interpreta ese valor. De acuerdo con la explicación atribuida a Red Hat en el artículo, el código confunde una cadena que representa un error con una cadena que identifica un hash de contraseña. Esa interpretación incorrecta permite eludir la comprobación de autenticación en las condiciones necesarias. La vulnerabilidad puede desembocar en acceso root, es decir, privilegios de administrador del sistema, según la descripción del caso.
La explotación ya ha sido observada
La noticia no se limita a una posibilidad teórica. La empresa de seguridad watchTowr indicó que también estaba observando actividad relacionada con la vulnerabilidad, asociada a botnets y a criptomonedas. Previdian comunicó que sus sensores habían registrado 20 intentos de explotación procedentes de 13 direcciones IP de atacantes, geolocalizadas en nueve países. Esas cifras describen las observaciones de Previdian; no representan el total de ataques ni permiten determinar por sí solas cuántos sistemas han sido comprometidos.
El artículo señala que Alpine Linux, una distribución ligera que utiliza musl, es uno de los entornos especialmente relevantes para revisar. Eso no significa que todas sus instalaciones cumplan las demás condiciones, ni que la distribución sea el único sistema potencialmente afectado. La exposición depende también de la configuración de OpenSSH, del uso de PAM y de las cuentas presentes en el sistema.
Un servidor SSH accesible desde Internet ofrece a un atacante una superficie que puede probar de forma automatizada. Según el artículo, la explotación es lo bastante sencilla como para que los atacantes puedan enviar comandos maliciosos a servidores SSH expuestos e identificar en segundos aquellos que podrían ser vulnerables. La existencia de condiciones específicas reduce el conjunto de sistemas afectados, pero no elimina la urgencia cuando se confirma que un equipo las reúne.
Qué deberían revisar los responsables de sistemas
La primera medida es identificar los equipos que ejecutan OpenSSH y determinar qué biblioteca de C utilizan. En sistemas basados en musl, hay que comprobar también si OpenSSH usa PAM y revisar las cuentas y los campos de contraseña de /etc/shadow. La inspección debe realizarse con permisos adecuados y mediante los procedimientos internos de administración; no es recomendable modificar a ciegas las cuentas del sistema, porque algunas configuraciones responden a necesidades legítimas de servicios o procesos.
Quienes usen OpenSSH deberían instalar la actualización correctiva disponible para su distribución y versión, siguiendo los canales de actualización del proveedor. La información publicada no especifica números de versión corregidos, por lo que no es prudente inferirlos: el responsable debe contrastar el aviso del mantenedor de su sistema operativo y verificar que el paquete instalado incorpora la corrección. Si se utiliza musl, la recomendación es investigar expresamente la configuración, no asumir que el sistema queda cubierto por actualizar otros componentes.
Mientras se confirma el estado de los equipos, los administradores pueden priorizar los servidores SSH accesibles desde Internet y los dispositivos que utilicen Alpine u otros entornos con musl. Una revisión de exposición y configuración ayuda a ordenar esa tarea; no sustituye a la instalación del parche. Para organizaciones que necesiten revisar sus procedimientos de protección y respuesta, la ciberseguridad incluye también la gestión de vulnerabilidades en servicios de acceso remoto.
La clave para valorar CVE-2026-123158 es distinguir entre tener OpenSSH instalado y cumplir la combinación concreta que hace explotable el fallo. La explotación activa observada convierte esa comprobación en una tarea prioritaria para responsables de infraestructura, especialmente cuando administran sistemas Linux expuestos o basados en musl.
