OpenSSH beveiligingslek in Alpine Linux: wat moet je doen?

Op 5 november 2026 is een kritiek OpenSSH beveiligingslek bekendgemaakt waardoor aanvallers op bepaalde Linux-systemen kunnen inloggen zonder het juiste wachtwoord. De kwetsbaarheid heeft de aanduiding CVE-2026-123158 gekregen en is verholpen in OpenSSH 10.6p2. Vooral systemen met Alpine Linux kunnen getroffen zijn.

OpenSSH is software waarmee systeembeheerders via een beveiligde verbinding toegang krijgen tot servers en andere computers. Met SSH kun je bijvoorbeeld instellingen aanpassen, bestanden beheren en onderhoud uitvoeren.

Het beveiligingslek zit in de controle van wachtwoorden. Bij bepaalde instellingen kan een aanvaller toegang krijgen tot een account waarvoor normaal gesproken geen wachtwoordlogin mogelijk hoort te zijn.

Dit is een ernstig probleem, omdat een aanvaller hiermee mogelijk toegang krijgt tot gevoelige gegevens of belangrijke systemen.

Niet iedere Linux-server is getroffen door het OpenSSH beveiligingslek. De kwetsbaarheid ontstaat alleen wanneer meerdere specifieke instellingen tegelijk aanwezig zijn.

Om kwetsbaar te zijn, moet een systeem aan meerdere voorwaarden voldoen:

• De server gebruikt een Linux-omgeving met de musl-bibliotheek, zoals Alpine Linux.
• OpenSSH werkt zonder PAM-authenticatie.
• Inloggen met een wachtwoord staat ingeschakeld.
• Er bestaat een account waarvan het wachtwoordveld een * bevat.
• Er is een ander lokaal account met een geschikte geldige wachtwoordhash.

Wanneer deze voorwaarden aanwezig zijn, kan een aanvaller mogelijk toegang krijgen tot een account zonder het juiste wachtwoord.

Vooral servers die rechtstreeks vanaf het internet bereikbaar zijn, verdienen daarom aandacht.

Linux-distributies zoals Ubuntu en Debian gebruiken standaard glibc in plaats van musl. Daardoor zijn standaardinstallaties niet kwetsbaar voor deze specifieke fout.

Het incident laat zien hoe belangrijk goede toegangsbeveiliging is. In de CompTIA Security+ training leer je hoe je beveiligingsrisico’s herkent en systemen beter beschermt.

De kwetsbaarheid ontstaat door de manier waarop OpenSSH op bepaalde Linux-systemen wachtwoorden controleert. De combinatie van musl en uitgeschakelde PAM-authenticatie speelt daarbij een belangrijke rol.

Wat is musl?

Musl is een softwarebibliotheek die belangrijke basisfuncties voor Linux-programma’s verzorgt. Alpine Linux gebruikt deze bibliotheek onder andere omdat deze compact is en weinig systeembronnen nodig heeft.

Bij een fout tijdens het controleren van een wachtwoord kan musl een speciale waarde teruggeven.

Wat is PAM?

PAM staat voor Pluggable Authentication Modules. Dit systeem regelt hoe Linux-programma’s gebruikers controleren voordat ze toegang krijgen.

Wanneer OpenSSH zonder PAM werkt, voert het bepaalde wachtwoordcontroles zelf uit.

Hoe kan de beveiliging worden omzeild?

Bij een kwetsbare configuratie kan de controle van een ongeldig wachtwoord de waarde * opleveren. Datzelfde teken wordt bij sommige Linux-accounts gebruikt om aan te geven dat er geen geldig wachtwoord is ingesteld.

Door een fout in de verwerking kan OpenSSH deze waarden als overeenkomstig beoordelen. Daardoor wordt een login soms toch toegestaan.

Het probleem laat zien dat zelfs een kleine fout in de samenwerking tussen softwareonderdelen grote gevolgen kan hebben voor de beveiliging.

OpenSSH 10.6p2 verhelpt de kwetsbaarheid. Deze beveiligingsupdate verscheen op 5 november 2026 en voorkomt dat de fout bij de wachtwoordcontrole tot ongeautoriseerde toegang leidt.

De belangrijkste wijziging is dat OpenSSH ongeldige wachtwoordwaarden niet meer op dezelfde kwetsbare manier verwerkt.

Ook Alpine Linux heeft beveiligde pakketten uitgebracht voor bestaande versies. Je hoeft daarom niet altijd de nieuwste hoofdversie van OpenSSH te installeren.

Enkele voorbeelden van beveiligde Alpine-pakketten zijn:

• Alpine 3.24: 10.3_p1-r2
• Alpine 3.23: 10.2_p1-r1
• Alpine 3.22: 10.0_p1-r11
• Alpine 3.21: 9.9_p2-r1
• Alpine edge: 10.6_p2-r0

Ook voor verschillende oudere Alpine-versies zijn beveiligingsupdates beschikbaar gesteld.

Let op: een OpenSSH-versienummer lager dan 10.6p2 betekent niet automatisch dat een server kwetsbaar is. Een Linux-distributie kan de beveiligingsoplossing namelijk in een oudere versie hebben verwerkt.

Je kunt controleren of jouw server mogelijk kwetsbaar is door de Linux-versie, geïnstalleerde OpenSSH-pakketten en SSH-instellingen te bekijken. Alleen het OpenSSH-versienummer controleren is onvoldoende.

Volg deze stappen op een server die je zelf beheert:

1. Controleer je Linux-distributie.Voer cat /etc/os-release uit om te zien welke Linux-distributie en versie geïnstalleerd zijn.
2. Bekijk de OpenSSH-pakketten.Op Alpine Linux kun je met apk info -v | grep '^openssh' controleren welke pakketten zijn geïnstalleerd. Vergelijk de pakketversies met de beschikbare beveiligingsupdates.
3. Controleer wachtwoordauthenticatie.Gebruik sshd -T | grep -i passwordauthentication om de algemene effectieve SSH-instellingen te bekijken. Staat hier yes, dan is wachtwoordauthenticatie ingeschakeld. Controleer ook eventuele gebruikersspecifieke instellingen.
4. Controleer de accountinstellingen.Onderzoek of er accounts met een * in het wachtwoordveld bestaan en of andere accounts geldige wachtwoordhashes hebben. Dit vereist beheerdersrechten en moet zorgvuldig gebeuren.

Wanneer je regelmatig met Linux-servers werkt, is kennis van dit soort controles belangrijk. In de Linux Administrator (LPIC-1 101) training leer je werken met Linux-systemen, opdrachten en toegangsrechten.

Een getroffen OpenSSH-server beveilig je door de beschikbare beveiligingsupdate te installeren en de SSH-dienst opnieuw te starten. Wanneer direct bijwerken niet mogelijk is, kun je het risico beperken door wachtwoordauthenticatie uit te schakelen.

Op Alpine Linux kun je de volgende stappen uitvoeren:

• Werk de beschikbare pakketten bij met apk upgrade -U -a.
• Start de SSH-dienst opnieuw met rc-service sshd restart.
• Controleer of de juiste beveiligde pakketversie actief is.

Belangrijk: alleen de update installeren is niet voldoende. De bestaande SSH-dienst blijft anders mogelijk nog met kwetsbare code draaien.

Kun je niet direct bijwerken? Stel dan PasswordAuthentication no in via de SSH-serverconfiguratie. Controleer eerst of inloggen met een SSH-sleutel werkt, valideer de configuratie met sshd -t en houd je bestaande sessie open totdat je een nieuwe verbinding hebt getest.

Beperk daarnaast SSH-toegang vanaf het internet tot de systemen en IP-adressen die deze toegang daadwerkelijk nodig hebben.

Mogelijk misbruik kun je herkennen door SSH-aanmeldingen en verdachte activiteiten op de server te onderzoeken. Vooral succesvolle wachtwoordlogins bij accounts die geen wachtwoordlogin mogen gebruiken, zijn verdacht.

Op Alpine Linux kun je in /var/log/messages zoeken naar meldingen met Accepted password for.

Controleer daarnaast:

• Onbekende gebruikers of recent toegevoegde SSH-sleutels.
• Verdachte wijzigingen in bestanden en systeeminstellingen.
• Onverwacht gebruik van beheerdersrechten.

Vind je een verdachte aanmelding? Onderzoek dan of daadwerkelijk ongeautoriseerde toegang heeft plaatsgevonden.

Het ontbreken van verdachte logregels bewijst niet dat een server veilig is. Wanneer misbruik niet kan worden uitgesloten, moet je rekening houden met een mogelijke beveiligingsinbreuk.

Het OpenSSH-beveiligingslek laat zien dat ook veelgebruikte beveiligingssoftware kwetsbaar kan zijn door de samenwerking tussen verschillende systeemonderdelen.

Voor systeembeheerders is het daarom belangrijk om niet alleen updates te installeren, maar ook configuraties, gebruikersrechten en aanmeldingen regelmatig te controleren.

Met ruim 25 jaar ervaring in IT-opleidingen helpt Startel professionals hun technische kennis verder te ontwikkelen. Wil je beter begrijpen hoe je kwetsbaarheden herkent en systemen beschermt? Dan sluit de CompTIA Security+ training hier goed op aan.

Voor beheerders van mogelijk getroffen Alpine-servers blijft de belangrijkste actie: controleer je configuratie, installeer de beveiligingsupdate en herstart SSH.