Celah OpenSSH Masuk Daftar KEV CISA, Server Wajib Cek

Bayangkan kamu menjalankan beberapa server kecil berbasis Alpine Linux, misalnya untuk gateway, bastion, atau container yang sengaja diberi SSH. Akun-akun di dalamnya sebagian besar tanpa password karena login memakai kunci SSH. Kedengarannya aman, sampai muncul kabar bahwa justru akun tanpa password itulah yang bisa dimasuki tanpa kredensial apa pun.

Itulah inti CVE-2026-123158. Pada 9 November 2026, CISA memasukkan celah OpenSSH ini ke katalog Known Exploited Vulnerabilities (KEV), daftar celah yang sudah terbukti dieksploitasi. Kabar baiknya, cakupannya sempit. Kabar buruknya, sistem yang masuk cakupan bisa dimasuki dari satu koneksi saja.

Apa yang diumumkan

OpenSSH merilis versi portabel 10.6p2 pada 5 November 2026. Catatan rilisnya menyebut versi ini membawa "critical security workaround" untuk sistem Linux yang memakai musl libc dan PAM dinonaktifkan. Menurut tim OpenSSH, akar masalahnya ada di luar sshd, tetapi bisa dieksploitasi lewat sshd sehingga dicegah di sana. Penemunya adalah Özgün Kültekin dari Wakefield.

Catatan rilis yang sama memuat pengakuan menarik. Tim OpenSSH menerima banyak laporan bug keamanan belakangan ini, sebagian besar hasil temuan model AI atau dibantu AI. Mereka juga melihat beberapa bug temuan AI kemudian ditemukan ulang secara terpisah oleh peneliti lain, tanda bahwa pihak yang tidak melapor pun kemungkinan bisa menemukannya. Karena itu, untuk sementara OpenSSH akan merilis versi lebih sering agar perbaikan cepat sampai ke pengguna.

Di hari yang sama, Alpine Linux menerbitkan advisori dan paket perbaikan. NVD menerbitkan CVE-2026-123158 dengan deskripsi: sshd di OpenSSH sebelum 10.6p2 di Linux, bila musl libc dipakai tanpa PAM, bisa dilewati autentikasi passwordnya pada konfigurasi akun tertentu. Skor CVSS 3.1 dari MITRE adalah 8.1 (High).

Lalu pada 9 November 2026, CISA menambahkan celah ini ke katalog KEV dengan nama "OpenBSD OpenSSH Unexpected Status Code or Return Value Vulnerability". Instansi federal AS diberi tenggat sampai 12 November 2026, hanya tiga hari, dan entri ini ditandai memerlukan triase forensik. Per 11 November 2026, siapa pelaku dan sasarannya belum dipublikasikan. Cara membaca sinyal semacam ini dibahas di panduan katalog KEV CISA untuk prioritas patch.

Siapa yang benar-benar terdampak?

Ini bagian yang paling penting untuk dipahami, supaya tidak panik di tempat yang salah.

Celah ini hanya muncul bila semua syarat terpenuhi: sshd dibangun dan dijalankan tanpa PAM, di atas musl libc, login password aktif, dan ada kombinasi akun tertentu di sistem. Alpine Linux adalah contoh paling umum, karena paket openssh-server bawaannya memang dibangun tanpa PAM.

Distribusi yang memakai glibc dan PAM, seperti Ubuntu, Debian, AlmaLinux, Rocky Linux, dan RHEL dalam konfigurasi bawaannya, tidak masuk deskripsi celah ini. Tetap perbarui OpenSSH dari distribusimu seperti biasa, tetapi server-server itu bukan sasaran utama CVE-2026-123158.

Menurut advisori Alpine, sistem dengan kondisi berikut tidak terdampak: PasswordAuthentication no, paket openssh-server-pam dengan UsePAM yes, container yang tidak menjalankan sshd, dan image cloud yang dikonfigurasi lewat cloud-init (karena cloud-init menulis PasswordAuthentication no). Alpine juga mengingatkan image resmi tiny-cloud versi 3.18.11 sampai 3.24.3: aman saat pertama menyala, tetapi bisa jadi rentan begitu ada akun yang diberi password.

Cara mengecek server

Mulai dari sistem operasinya. cat /etc/os-release akan menunjukkan apakah server itu Alpine. Lalu cek versi OpenSSH dengan ssh -V, dan versi paket terpasang dengan apk list -I | grep openssh.

Setelah itu, cek konfigurasi efektif sshd sebagai root. Perintah sshd -T | grep -i passwordauthentication menunjukkan apakah login password aktif, dan sshd -T | grep -i usepam menunjukkan apakah PAM dipakai (baris ini hanya muncul bila sshd dibangun dengan dukungan PAM). Bila hasilnya passwordauthentication no, jalur celah ini sudah tertutup.

Versi paket Alpine yang sudah diperbaiki, menurut advisori resminya, adalah 10.6_p2-r0 untuk edge, 10.3_p1-r2 untuk 3.24, 10.2_p1-r1 untuk 3.23, 10.0_p1-r11 untuk 3.22, dan 9.9_p2-r1 untuk 3.21. Alpine juga menerbitkan paket perbaikan sampai rilis lama 3.16, walaupun rilis 3.21 ke bawah sudah tidak didukung reguler. Rilis titik 3.21.10, 3.22.8, 3.23.8, dan 3.24.4 sudah memuat paket yang diperbaiki.

Menambal dan menutup jalur password

Langkah resmi Alpine sederhana: jalankan apk upgrade -U -a, lalu rc-service sshd restart. Bagian kedua wajib. Memperbarui paket tidak mengganti sshd yang sedang berjalan, jadi tanpa restart, versi lama tetap melayani koneksi.

Bila belum bisa memperbarui, Alpine menyarankan mematikan login password: set PasswordAuthentication no di konfigurasi sshd, uji dengan sshd -t, lalu restart. Sebelum itu, pastikan login dengan kunci SSH sudah berjalan dan biarkan sesi yang sedang aktif tetap terbuka sampai login baru berhasil, supaya kamu tidak terkunci dari server sendiri. Alasan kenapa kunci SSH lebih kuat dari password secara umum dijelaskan di perbandingan SSH key dan password.

Untuk server yang memakai distribusi lain, tidak ada tindakan khusus untuk CVE ini selain pembaruan rutin. Tetapi momen ini bagus untuk memastikan OpenSSH di server-server itu juga tidak tertinggal dari tambalan lama, seperti celah regreSSHion CVE-2024-6387 yang dulu menyasar sshd berbasis glibc.

Kalau server sempat rentan

Karena CISA mengonfirmasi eksploitasi aktif, server Alpine yang terbuka ke internet dengan login password aktif sebelum ditambal perlu diperiksa. Advisori Alpine menyarankan mencari baris sshd "Accepted password for" di /var/log/messages untuk akun yang seharusnya tidak punya password, seperti alpine, root, atau akun yang hanya memakai kunci. Tinjau juga pemakaian doas, akun dan file yang baru dibuat, serta isi authorized_keys. Bila login mencurigakan tidak bisa dipastikan aman, perlakukan server sebagai sudah dibobol: bangun ulang dari image bersih dan ganti semua kredensial yang tersimpan di dalamnya.

Celah ini sempit cakupannya, tetapi sangat berbahaya bagi yang terkena. Cek dulu apakah server Alpine-mu memakai login password, perbarui OpenSSH lalu restart sshd, dan jadikan login hanya dengan kunci sebagai standar untuk semua server baru.