Vulnerabilidad CVE-2026-123158: acceso sin contraseña en Linux

Una brecha de seguridad dormida durante una década

Investigadores de ciberseguridad han identificado una vulnerabilidad CVE-2026-123158 que representa un riesgo significativo para determinadas configuraciones de sistemas Linux. Este fallo, conocido como *sshole, permite que intrusos obtengan acceso remoto a cuentas específicas sin necesidad de conocer la contraseña válida. La vulnerabilidad CVE-2026-123158 ha permanecido oculta durante aproximadamente diez años antes de ser descubierta por Özgün Kültekin, un investigador de seguridad de Wakefield.

El descubrimiento revela cómo medidas de seguridad implementadas de forma independiente en diferentes momentos pueden interactuar de manera inesperada, creando fisuras en la protección del sistema. Esta paradoja de seguridad demuestra que las decisiones tomadas para mejorar la defensa de un entorno informático pueden, en ciertas circunstancias, generar los resultados opuestos a los deseados.

¿Cómo funciona el fallo de autenticación?

Para comprender la naturaleza de este problema, es fundamental entender el protocolo SSH y cómo gestiona la autenticación. SSH es una herramienta ampliamente utilizada para administrar servidores de forma remota, permitiendo conexiones seguras a través de la red sin necesidad de estar físicamente presente. OpenSSH es una de las implementaciones más populares de este protocolo y ofrece múltiples formas de autenticación: mediante contraseñas o claves criptográficas.

En sistemas Linux, el archivo /etc/shadow almacena los datos necesarios para verificar contraseñas. Cuando un campo de usuario contiene un asterisco (*), el sistema está configurado para rechazar intentos de autenticación basados en contraseñas, permitiendo únicamente otros métodos como claves SSH. Sin embargo, la vulnerabilidad CVE-2026-123158 explota una falla en esta lógica de validación.

El mecanismo del ataque

Según el análisis realizado por Kültekin, el problema surge cuando OpenSSH intenta validar una contraseña para una cuenta que debería rechazarla. Al no encontrar los datos de verificación necesarios en la cuenta objetivo, el sistema utiliza información de otra cuenta para efectuar la comprobación. Aquí es donde se produce el error crítico: si la contraseña ingresada tiene una longitud entre 257 y 1.024 bytes, la función de procesamiento en musl (una biblioteca fundamental del sistema) retorna un asterisco para indicar un error de validación.

El problema radica en que ese mismo símbolo ya existe en la cuenta protegida, generando una falsa coincidencia. El servidor interpreta ambos valores como equivalentes y autoriza el acceso, permitiendo que un atacante ingrese a una cuenta sin proporcionar la contraseña correcta. Este mecanismo representa una falla grave en la lógica de autenticación.

Años de modificaciones que confluyeron en una vulnerabilidad

La historia de cómo la vulnerabilidad CVE-2026-123158 llegó a existir es compleja y abarca más de una década. En 2012, la biblioteca musl modificó su forma de comunicar errores y estableció límites de longitud en el procesamiento de contraseñas para prevenir ataques de denegación de servicio. Cuatro años después, en 2016, OpenSSH introdujo cambios específicos para evitar que atacantes pudieran identificar usuarios válidos en el sistema midiendo diferencias en los tiempos de respuesta del servidor.

Posteriormente, en 2022, Alpine Linux realizó ajustes en la configuración de su cuenta de administrador para facilitar el acceso mediante claves SSH. Cada una de estas modificaciones resolvía problemas de seguridad legítimos y bien documentados. No obstante, cuando estas tres soluciones confluyen en una misma configuración, crean condiciones inesperadas que abren una puerta a accesos no autorizados.

¿Qué sistemas están realmente en riesgo?

No todos los sistemas operativos son susceptibles a la vulnerabilidad CVE-2026-123158. La firma de ciberseguridad Check Point ha identificado que el fallo requiere que se cumplan múltiples condiciones simultáneamente. En primer lugar, debe ejecutarse OpenSSH sin PAM (Pluggable Authentication Modules), un mecanismo crucial para gestionar autenticación. Además, el servidor debe permitir autenticación por contraseña y contener una cuenta con el asterisco de bloqueo específico.

También debe existir otra cuenta local activa con un hash de contraseña generado mediante algoritmos SHA-256 o SHA-512. Los sistemas que desactivan completamente la autenticación por contraseña se encuentran fuera del rango de riesgo, al igual que aquellos que implementan PAM para gestionar la validación. Alpine Linux es particularmente vulnerable cuando combina OpenSSH con la biblioteca musl y prescinde de PAM.

Impacto en entornos de producción

Las consecuencias de esta vulnerabilidad pueden ser especialmente severas cuando la cuenta comprometida dispone de permisos elevados. Alpine ha señalado como ejemplo crítico determinadas imágenes oficiales utilizadas en entornos de nube, donde el usuario alpine puede ejecutar comandos administrativos mediante doas sin requerir contraseña. Aunque estas imágenes son seguras en su instalación inicial, pueden volverse vulnerables si posteriormente se configura una cuenta con un hash de contraseña compatible.

En tal escenario, un atacante podría obtener control completo del sistema, incluyendo acceso de administrador. Ya existen informes de intentos de explotación activa: la firma Previdian asegura haber detectado ocho intentos desde una misma dirección IP, confirmando además un acceso exitoso con privilegios de administrador en uno de sus servidores señuelo.

Acciones inmediatas para mitigar el riesgo

La respuesta del sector de seguridad ha sido rápida. El 5 de noviembre, OpenSSH publicó la versión 10.6p2 que corrige la vulnerabilidad CVE-2026-123158, mientras que Alpine distribuyó actualizaciones para múltiples ramas de su sistema, incluidas versiones antiguas aún en uso. Sin embargo, es fundamental comprender que instalar el parche no es suficiente: es necesario reiniciar el servicio SSH para que el sistema implemente el código corregido y elimine el comportamiento vulnerable.

Para organizaciones que aún no pueden actualizar inmediatamente sus sistemas, existe una medida temporal recomendada: desactivar la autenticación mediante contraseña en OpenSSH. Esto requiere realizar cambios en la configuración del servicio y reiniciarlo para aplicar la modificación. Antes de ejecutar este cambio, los administradores deben verificar minuciosamente que el acceso mediante claves criptográficas funciona correctamente, evitando que se queden sin acceso al sistema.

Conclusiones sobre la seguridad en capas

Esta vulnerabilidad CVE-2026-123158 ofrece lecciones importantes sobre la seguridad informática. Demuestra que incluso cuando se implementan medidas de protección sólidas de forma aislada, estas pueden interactuar de formas impredecibles cuando se combinan. Los administradores de sistemas deben mantener sus plataformas actualizadas, realizar auditorías regulares de configuración y estar atentos a los anuncios de seguridad de sus proveedores. La vigilancia constante y las actualizaciones oportunas son esenciales para mantener la integridad de los sistemas Linux en producción.