Vulnerabilidad CVE-2026-123158: acceso a Linux sin contraseña

Una brecha crítica en la autenticación de sistemas Linux

La vulnerabilidad CVE-2026-123158 ha destapado un fallo crítico que compromete la seguridad de determinadas instalaciones de Linux. Este problema de seguridad permite acceder remotamente a cuentas en sistemas Linux sin proporcionar una contraseña válida, un hallazgo especialmente preocupante considerando que el defecto llevaba más de una década sin ser detectado en el código.

El investigador de seguridad Özgün Kültekin, procedente de Wakefield, identificó esta vulnerabilidad en sistemas Alpine Linux que ejecutan OpenSSH combinado con musl, una biblioteca fundamental del sistema operativo. La ausencia de PAM (Pluggable Authentication Modules), un mecanismo estándar para gestionar la autenticación, crea las condiciones necesarias para que este ataque sea posible. Tras el descubrimiento, tanto OpenSSH como Alpine publicaron parches correctivos el 5 de noviembre de 2026.

Cómo funciona el mecanismo del ataque

Para comprender cómo es posible esta brecha de seguridad, es fundamental conocer el protocolo SSH (Secure Shell) y su implementación en OpenSSH. SSH permite establecer conexiones seguras a equipos remotos a través de la red, facilitando la administración de servidores sin necesidad de acceso físico. La autenticación puede realizarse mediante contraseñas o mediante claves criptográficas que verifican la identidad del usuario.

En sistemas Linux, el archivo /etc/shadow almacena los datos utilizados para validar las contraseñas de las cuentas de usuario. Cuando el campo de contraseña contiene un asterisco (*), esto debería indicar que la autenticación ordinaria por contraseña está bloqueada, permitiendo únicamente otros métodos de autenticación como el uso de claves SSH.

El problema de la coincidencia de valores

Según el análisis técnico de Kültekin sobre esta vulnerabilidad, el fallo se manifiesta cuando OpenSSH intenta verificar una contraseña para una cuenta que no debería aceptarlas. Al no localizar los datos necesarios en esa cuenta, el sistema consulta información de otra cuenta para efectuar la verificación. Si la contraseña introducida tiene una extensión entre 257 y 1.024 bytes, la función de musl encargada de procesarla devuelve un asterisco como indicador de error.

El problema surge porque ese mismo símbolo aparece en la cuenta protegida del archivo /etc/shadow. El servidor OpenSSH interpreta ambos valores como coincidentes y, erróneamente, permite el acceso a la cuenta que debería estar protegida. Este es el mecanismo exacto que habilita el ataque: una lógica de validación defectuosa que confunde un valor de error con una credencial válida.

Una historia compleja de actualizaciones incompatibles

La génesis de este problema se remonta años atrás, resultado de múltiples cambios aparentemente seguros en diferentes componentes del sistema. En 2012, musl modificó la forma en que comunica ciertos errores e implementó un límite de longitud al procesar contraseñas para prevenir ataques de denegación de servicio. Cuatro años después, en 2016, OpenSSH introdujo modificaciones diseñadas para prevenir que un atacante pudiera enumerar usuarios existentes midiendo los tiempos de respuesta del servidor.

Posteriormente, en 2022, Alpine ajustó la configuración de su cuenta de administrador predeterminada para permitir el acceso mediante claves SSH. Cada una de estas medidas fue implementada para resolver problemas de seguridad específicos y diferentes. Sin embargo, cuando se combinaron todas ellas en el mismo entorno, generaron una interacción imprevista que terminaría creando esta vulnerabilidad critica.

¿Qué sistemas están realmente en riesgo?

Aunque Alpine Linux sea el sistema afectado inicialmente, utilizar esta distribución no garantiza ser vulnerable a esta brecha. Según el análisis de la firma de ciberseguridad Check Point, la explotación de esta vulnerabilidad requiere que se cumplan simultáneamente varias condiciones técnicas específicas. OpenSSH debe estar configurado sin PAM, debe permitir autenticación por contraseña, y debe existir una cuenta con el asterisco en su campo de contraseña.

Adicionalmente, debe existir otra cuenta de usuario local activa que tenga un hash de contraseña generado utilizando algoritmos SHA-256 o SHA-512. Los sistemas que han desactivado completamente la autenticación por contraseña quedan excluidos de este escenario de riesgo, al igual que aquellos que utilizan PAM como intermediario para gestionar la autenticación.

Riesgos para sistemas en la nube y configuraciones críticas

Las consecuencias pueden ser particularmente graves cuando la cuenta comprometida posee permisos elevados o acceso administrativo. Alpine destaca que determinadas imágenes oficiales utilizadas en entornos de nube contienen una configuración donde el usuario alpine puede ejecutar comandos de administrador mediante doas sin requerir contraseña adicional. Aunque estas imágenes son seguras cuando se lanzan por primera vez, pueden volverse vulnerables si posteriormente se configura una nueva cuenta con un hash de contraseña compatible con esta vulnerabilidad.

En tales circunstancias, un atacante podría lograr control total del sistema comprometido. La gravedad de esta situación queda evidenciada por informes de explotación activa: la firma Previdian ha documentado ocho intentos de explotación desde la misma dirección IP, y ha confirmado al menos un acceso exitoso con privilegios administrativos en uno de sus servidores señuelo utilizados para detectar actividad maliciosa.

Parches y medidas de mitigación disponibles

La comunidad de seguridad ha respondido rápidamente a este descubrimiento. OpenSSH lanzó el 5 de noviembre la versión 10.6p2 que corrige específicamente esta vulnerabilidad. Alpine ha distribuido actualizaciones para sus distintas ramas de soporte, incluyendo versiones más antiguas que aún reciben mantenimiento de seguridad. Los administradores deben tener en cuenta que simplemente instalar el parche no es suficiente; es imperativo reiniciar el servicio SSH para que el sistema cargue y ejecute el código corregido.

Para aquellos que aún no puedan aplicar las actualizaciones, Alpine recomienda desactivar temporalmente la autenticación mediante contraseña en OpenSSH. Esto debe hacerse verificando previamente que el acceso mediante claves criptográficas funciona correctamente. Tras realizar este cambio, también es necesario reiniciar el servicio SSH para que la nueva configuración tenga efecto. Esta medida temporal reduce significativamente el vector de ataque mientras se prepara la instalación de los parches definitivos.

Conclusiones de seguridad

Esta vulnerabilidad subraya la importancia de comprender cómo interactúan diferentes componentes de seguridad en un sistema operativo. Lo que parecían ser medidas independientes y sensatas terminaron creando una brecha imprevista cuando se combinaron. Los administradores de sistemas deben actualizar urgentemente sus instalaciones afectadas, verificar la aplicación de parches y considerar implementar las medidas de mitigación recomendadas mientras completan el proceso de actualización.