--- title: "Celah OpenSSH Masuk Daftar KEV CISA, Server Wajib Cek" description: "CISA memasukkan CVE-2026-123158, celah bypass password OpenSSH di Linux musl tanpa PAM, ke katalog KEV. Ini siapa yang terdampak dan cara menambal." url: "https://nivelva.com/insight/celah-openssh-kev-cisa-november-2026" category: "Keamanan/Cyber Security" tags: ["openssh","cve-2026-123158","kev cisa","alpine linux","ssh"] author: "Lucas Tan" published: "2026-11-11T20:24:00+07:00" updated: "2026-11-11T20:24:00+07:00" language: "id" publisher: "Nivelva (https://nivelva.com)" --- # Celah OpenSSH Masuk Daftar KEV CISA, Server Wajib Cek > **Jawaban singkat:** CISA menambahkan CVE-2026-123158 ke katalog KEV pada 9 November 2026. Celah ini membuat sshd sebelum OpenSSH 10.6p2 bisa dilewati tanpa password di Linux yang memakai musl libc tanpa PAM, contohnya Alpine Linux. Perbarui OpenSSH atau matikan login password. Bayangkan kamu menjalankan beberapa server kecil berbasis Alpine Linux, misalnya untuk gateway, bastion, atau container yang sengaja diberi SSH. Akun-akun di dalamnya sebagian besar tanpa password karena login memakai kunci SSH. Kedengarannya aman, sampai muncul kabar bahwa justru akun tanpa password itulah yang bisa dimasuki tanpa kredensial apa pun. Itulah inti CVE-2026-123158. Pada 9 November 2026, CISA memasukkan celah OpenSSH ini ke katalog Known Exploited Vulnerabilities (KEV), daftar celah yang sudah terbukti dieksploitasi. Kabar baiknya, cakupannya sempit. Kabar buruknya, sistem yang masuk cakupan bisa dimasuki dari satu koneksi saja. ## Apa yang diumumkan OpenSSH merilis versi portabel 10.6p2 pada 5 November 2026. Catatan rilisnya menyebut versi ini membawa "critical security workaround" untuk sistem Linux yang memakai musl libc dan PAM dinonaktifkan. Menurut tim OpenSSH, akar masalahnya ada di luar sshd, tetapi bisa dieksploitasi lewat sshd sehingga dicegah di sana. Penemunya adalah Özgün Kültekin dari Wakefield. Catatan rilis yang sama memuat pengakuan menarik. Tim OpenSSH menerima banyak laporan bug keamanan belakangan ini, sebagian besar hasil temuan model AI atau dibantu AI. Mereka juga melihat beberapa bug temuan AI kemudian ditemukan ulang secara terpisah oleh peneliti lain, tanda bahwa pihak yang tidak melapor pun kemungkinan bisa menemukannya. Karena itu, untuk sementara OpenSSH akan merilis versi lebih sering agar perbaikan cepat sampai ke pengguna. Di hari yang sama, Alpine Linux menerbitkan advisori dan paket perbaikan. NVD menerbitkan CVE-2026-123158 dengan deskripsi: sshd di OpenSSH sebelum 10.6p2 di Linux, bila musl libc dipakai tanpa PAM, bisa dilewati autentikasi passwordnya pada konfigurasi akun tertentu. Skor CVSS 3.1 dari MITRE adalah 8.1 (High). Lalu pada 9 November 2026, CISA menambahkan celah ini ke katalog KEV dengan nama "OpenBSD OpenSSH Unexpected Status Code or Return Value Vulnerability". Instansi federal AS diberi tenggat sampai 12 November 2026, hanya tiga hari, dan entri ini ditandai memerlukan triase forensik. Per 11 November 2026, siapa pelaku dan sasarannya belum dipublikasikan. Cara membaca sinyal semacam ini dibahas di [panduan katalog KEV CISA untuk prioritas patch](https://nivelva.com/insight/katalog-kev-cisa-prioritas-patch). ## Siapa yang benar-benar terdampak? Ini bagian yang paling penting untuk dipahami, supaya tidak panik di tempat yang salah. Celah ini hanya muncul bila semua syarat terpenuhi: sshd dibangun dan dijalankan **tanpa PAM**, di atas **musl libc**, login password aktif, dan ada kombinasi akun tertentu di sistem. Alpine Linux adalah contoh paling umum, karena paket `openssh-server` bawaannya memang dibangun tanpa PAM. Distribusi yang memakai glibc dan PAM, seperti Ubuntu, Debian, AlmaLinux, Rocky Linux, dan RHEL dalam konfigurasi bawaannya, tidak masuk deskripsi celah ini. Tetap perbarui OpenSSH dari distribusimu seperti biasa, tetapi server-server itu bukan sasaran utama CVE-2026-123158. Menurut advisori Alpine, sistem dengan kondisi berikut tidak terdampak: `PasswordAuthentication no`, paket `openssh-server-pam` dengan `UsePAM yes`, container yang tidak menjalankan sshd, dan image cloud yang dikonfigurasi lewat cloud-init (karena cloud-init menulis `PasswordAuthentication no`). Alpine juga mengingatkan image resmi tiny-cloud versi 3.18.11 sampai 3.24.3: aman saat pertama menyala, tetapi bisa jadi rentan begitu ada akun yang diberi password. | Kondisi server | Status menurut advisori resmi | |:--|:--| | Alpine, paket `openssh-server` (tanpa PAM), login password aktif | Terdampak, segera perbarui | | Alpine, `openssh-server-pam` dengan `UsePAM no` | Terdampak | | Alpine, `openssh-server-pam` dengan `UsePAM yes` | Tidak terdampak | | Server mana pun dengan `PasswordAuthentication no` | Tidak terdampak | | Container yang tidak menjalankan sshd | Tidak terdampak | | Ubuntu, Debian, AlmaLinux, RHEL (glibc + PAM, bawaan) | Di luar cakupan deskripsi CVE | ## Cara mengecek server Mulai dari sistem operasinya. `cat /etc/os-release` akan menunjukkan apakah server itu Alpine. Lalu cek versi OpenSSH dengan `ssh -V`, dan versi paket terpasang dengan `apk list -I | grep openssh`. Setelah itu, cek konfigurasi efektif sshd sebagai root. Perintah `sshd -T | grep -i passwordauthentication` menunjukkan apakah login password aktif, dan `sshd -T | grep -i usepam` menunjukkan apakah PAM dipakai (baris ini hanya muncul bila sshd dibangun dengan dukungan PAM). Bila hasilnya `passwordauthentication no`, jalur celah ini sudah tertutup. Versi paket Alpine yang sudah diperbaiki, menurut advisori resminya, adalah `10.6_p2-r0` untuk edge, `10.3_p1-r2` untuk 3.24, `10.2_p1-r1` untuk 3.23, `10.0_p1-r11` untuk 3.22, dan `9.9_p2-r1` untuk 3.21. Alpine juga menerbitkan paket perbaikan sampai rilis lama 3.16, walaupun rilis 3.21 ke bawah sudah tidak didukung reguler. Rilis titik 3.21.10, 3.22.8, 3.23.8, dan 3.24.4 sudah memuat paket yang diperbaiki. ## Menambal dan menutup jalur password Langkah resmi Alpine sederhana: jalankan `apk upgrade -U -a`, lalu `rc-service sshd restart`. Bagian kedua wajib. Memperbarui paket tidak mengganti sshd yang sedang berjalan, jadi tanpa restart, versi lama tetap melayani koneksi. Bila belum bisa memperbarui, Alpine menyarankan mematikan login password: set `PasswordAuthentication no` di konfigurasi sshd, uji dengan `sshd -t`, lalu restart. Sebelum itu, pastikan login dengan kunci SSH sudah berjalan dan biarkan sesi yang sedang aktif tetap terbuka sampai login baru berhasil, supaya kamu tidak terkunci dari server sendiri. Alasan kenapa kunci SSH lebih kuat dari password secara umum dijelaskan di [perbandingan SSH key dan password](https://nivelva.com/insight/ssh-key-vs-password). Untuk server yang memakai distribusi lain, tidak ada tindakan khusus untuk CVE ini selain pembaruan rutin. Tetapi momen ini bagus untuk memastikan OpenSSH di server-server itu juga tidak tertinggal dari tambalan lama, seperti celah [regreSSHion CVE-2024-6387](https://nivelva.com/insight/regresshion-cve-2024-6387-cek-tambal-openssh) yang dulu menyasar sshd berbasis glibc. ## Kalau server sempat rentan Karena CISA mengonfirmasi eksploitasi aktif, server Alpine yang terbuka ke internet dengan login password aktif sebelum ditambal perlu diperiksa. Advisori Alpine menyarankan mencari baris sshd "Accepted password for" di `/var/log/messages` untuk akun yang seharusnya tidak punya password, seperti `alpine`, `root`, atau akun yang hanya memakai kunci. Tinjau juga pemakaian `doas`, akun dan file yang baru dibuat, serta isi `authorized_keys`. Bila login mencurigakan tidak bisa dipastikan aman, perlakukan server sebagai sudah dibobol: bangun ulang dari image bersih dan ganti semua kredensial yang tersimpan di dalamnya. Celah ini sempit cakupannya, tetapi sangat berbahaya bagi yang terkena. Cek dulu apakah server Alpine-mu memakai login password, perbarui OpenSSH lalu restart sshd, dan jadikan login hanya dengan kunci sebagai standar untuk semua server baru. ## Sumber - - - - --- Diterbitkan oleh Nivelva Insight (https://nivelva.com/insight/). Artikel ini: https://nivelva.com/insight/celah-openssh-kev-cisa-november-2026 Kontak Nivelva: WhatsApp https://wa.me/6285111245007, email hello@nivelva.com