🔑 OpenSSH’ta Parolayı Bilmeden Giriş Açığı CISA’nın “Aktif İstismar” Listesinde: CVE-2026-123158, Alpine Linux Sunucun Etkileniyor mu?

DGO · Dün 10:04 da

Bir web siten, bir VPS’in ya da içinde SSH çalışan bir Docker konteynerin varsa bu haber sana. ABD Siber Güvenlik Ajansı CISA, 9 Kasım 2026’da OpenSSH’taki CVE-2026-123158 açığını “bilinen ve istismar edilen açıklar” (KEV) kataloğuna ekledi. Kısaca: Belirli Linux sistemlerde, saldırgan parolayı bilmeden SSH ile oturum açabiliyor. İyi haber şu ki etkilenen yapılandırma oldukça belirli ve çözümü basit. Gel, sunucunun bu gruba girip girmediğine birlikte bakalım. Geçen hafta konuştuğumuz SonicWall uyarısı için #311 numaralı konuya da göz atabilirsin.

CISA ne dedi?

Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.
dört yeni açık var; biri “OpenBSD OpenSSH Unexpected Status Code or Return Value Vulnerability” adıyla CVE-2026-123158.
Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.
açıklamaya göre Linux üzerindeki OpenSSH’ta beklenmeyen bir dönüş değeri kimlik doğrulamanın atlanmasına yol açabiliyor.
Katalog kaydında ABD federal kurumları için son tarih 12 Kasım 2026. Bu zorunluluk sadece onlar için; CISA tüm kuruluşlara KEV’deki açıkları öncelikli kapatmalarını öneriyor.
“Fidye yazılımı kampanyalarında kullanımı” alanı “Unknown” (bilinmiyor). CISA saldırıların kim tarafından, kime karşı yapıldığını açıklamıyor.

Açık tam olarak ne?

OpenSSH ekibi 5 Kasım 2026’da
Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.
yayımladı. Sürüm notuna göre bu sürüm, musl libc kullanan ve PAM’i kapalı olan Linux sistemleri etkileyen kritik bir güvenlik önlemi içeriyor. Ekip, hatanın kök nedenini sshd’nin dışında görüyor ama sshd üzerinden istismar edilebildiği için önlemi sshd’ye eklemiş. Açığı Wakefield’dan Özgün Kültekin bildirmiş.
Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.
da aynı şeyi söylüyor: 10.6p2 öncesi OpenSSH, Linux’ta PAM olmadan musl libc ile çalışıyorsa bazı hesap yapılandırmalarında çok uzun bir parola her seferinde kabul ediliyor. NVD örnek olarak Alpine Linux’u veriyor. Kayıtta MITRE’nin verdiği CVSS 3.1 puanı 8,1 (Yüksek).
Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.
işi en sade anlatan kaynak: SSH portuna ulaşabilen bir saldırgan, tek bağlantıda ve deneme yapmadan, hiçbir parolayı bilmeden giriş yapabiliyor. Bunun için 257 ile 1024 bayt arası çok uzun bir parola göndermesi yetiyor.

Kimler etkileniyor, kimler etkilenmiyor?

Alpine duyurusuna göre şu koşulların hepsi birden geçerliyse etkileniyorsun:

PAM’siz derlenen openssh-server paketini kullanıyorsun ya da openssh-server-pam paketini “UsePAM no” ile çalıştırıyorsun.
PasswordAuthentication yes (OpenSSH’ın varsayılanı; değiştirmediysen açık).
Makinede parola alanı * olan bir hesap var. Sadece anahtarla giriş yapılan kullanıcılar, Alpine 3.16’dan bu yana “root:*” olarak gelen root hesabı ve resmî tiny-cloud imajlarındaki “alpine” kullanıcısı bu gruba giriyor.
Aynı makinede en az bir hesapta $5$ ya da $6$ ile başlayan bir parola hash’i var.

Etkilenmeyenler: İçinde sshd çalışmayan Docker konteynerleri, PasswordAuthentication’ı “no” olan sistemler, “UsePAM yes” ile çalışan openssh-server-pam, parola alanı “!” olan kilitli hesaplar ve cloud-init ile kurulan bulut imajları (cloud-init parolayla girişi kapatıyor). Alpine, kontrol ettiği tüm sürümlerin (3.16’dan 3.24’e ve edge) etkilendiğini yazıyor.

Nasıl düzeltilir?

Güncelle: Alpine’da apk upgrade -U -a ile güncelle. Düzeltilmiş paketler 3.21.10, 3.22.8, 3.23.8 ve 3.24.4 sürümlerinde var; eski sürümler (3.16’ya kadar) için de yamalı paket yayımlanmış. Tam sürüm tablosu
Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.
.
sshd’yi yeniden başlat: Paketi güncellemek çalışan sshd’yi değiştirmiyor. Alpine, güncellemeden sonra rc-service sshd restart demeni istiyor.
Hemen güncelleyemiyorsan: sshd ayarında PasswordAuthentication no yap ve sshd’yi yeniden başlat. Alpine’a göre bu da açığı kapatıyor. Önce SSH anahtarıyla girişinin çalıştığından emin ol ve yeni girişi test edene kadar açık oturumunu kapatma.
İz kontrol et: Alpine, “/var/log/messages” içinde parolası olmayan bir hesap (alpine, root ya da sadece anahtarla giren bir kullanıcı) için “Accepted password for” satırlarına bakmanı, ayrıca doas kullanımını, yeni kullanıcıları, dosyaları ve authorized_keys’i incelemeni öneriyor. Bir girişi dışlayamıyorsan makineyi ele geçirilmiş say.

Türkiye’de durum ne?

CISA, OpenSSH ve Alpine duyurularında ülke ayrımı yok. Açık, nerede çalıştığından bağımsız olarak yapılandırmaya bağlı.
Türkiye’deki hosting ya da bulut firmaları için resmî bir açıklama bulamadım. Kendi sunucunu ya da VPS’ini yönetiyorsan sorumluluk sende; yönetilen hosting kullanıyorsan firmana sorman en hızlı yol.