CVE-2026-123158: bypass de autenticación en OpenSSH sobre Linux explotado activamente

CVE-2026-123158: CISA confirma explotación activa de un bypass de autenticación en OpenSSH

CISA añadió el 9 de noviembre de 2026 al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) la CVE-2026-123158, una vulnerabilidad de valor de retorno o código de estado inesperado (CWE-394) en OpenBSD OpenSSH sobre Linux que podría permitir eludir la autenticación. Su puntuación CVSS enriquecida por NVD es 8.1 (ALTA). Su inclusión en KEV significa que existe evidencia de explotación en entornos reales.

Análisis Técnico

CWE-394 describe fallos en los que el código no maneja correctamente un estado o valor de retorno inesperado de una función. En este caso, según la descripción de CISA, ese manejo incorrecto puede derivar en que el servidor dé por válida una autenticación que no lo es. El aviso de Alpine Linux, citado por CISA, se refiere al problema como un bypass de autenticación por contraseña en OpenSSH, y la corrección upstream está publicada como un commit en openssh-portable.

Vector de Ataque

Servicio sshd expuesto en red, en sistemas Linux.
Ataque remoto sobre el mecanismo de autenticación, sin necesidad de credenciales válidas.
Complejidad que explica el CVSS 8.1 en lugar de crítico; los detalles finos del vector están en NVD.

Nota: los detalles de explotación completos no están en el feed de CISA; consulte las fuentes oficiales para la condición exacta.

Impacto Operacional y de Seguridad

Acceso no autorizado a sistemas por SSH, con los privilegios de la cuenta objetivo.
Movimiento lateral y persistencia desde servidores de administración, bastiones y equipos de CI/CD.
Uso en campañas de ransomware: desconocido según CISA.
Al ser un componente de código abierto reutilizado, afecta también a productos y appliances de terceros que empaquetan OpenSSH.

Productos Afectados

OpenBSD OpenSSH en Linux. Las versiones exactas y los paquetes corregidos por distribución deben confirmarse en las notas de versión de OpenSSH, el aviso de Alpine y la ficha de NVD; no se listan aquí para evitar imprecisiones.

Recomendaciones y Mitigación

Acciones Inmediatas Recomendadas

Aplicar de inmediato las actualizaciones de OpenSSH de su distribución o el parche del fabricante.
Priorizar los servidores con sshd expuesto a Internet, según la directiva BOD 26-04 de CISA.
Restringir el acceso SSH con firewall, VPN o listas de IP permitidas mientras se parchea.
Preferir autenticación por llave y revisar la configuración de sshd_config.
Revisar los registros de autenticación (/var/log/auth.log o journalctl -u ssh) en busca de accesos anómalos y aplicar los Forensics Triage Requirements de CISA.
Si no hay mitigación disponible, CISA indica discontinuar el uso del producto.

Fecha límite para agencias FCEB: 12 de noviembre de 2026. Aunque aplica a agencias federales de EE. UU., es una referencia sensata de urgencia para cualquier organización.