サーバーに遠隔からログインするための仕組み「OpenSSH」に、パスワードを知らなくてもログインされてしまう脆弱性（＝システムの安全上の欠陥）が見つかりました。番号は「CVE-2026-123158」で、「SSHole」という呼び名でも報じられています。修正版の公開から2日後には、実際に悪用された例が観測されています。
「SSHって、うちのサーバーにも入っているはず。ニュースを見て不安になったけど、何を確認すればいい？」
先に結論をお伝えします。影響を受けるのは「Alpine Linux（アルパイン・リナックス）など、musl（マッスル）という部品を使うLinux」でOpenSSHを動かしている場合に限られます。Ubuntu・Red Hat系・Amazon Linuxなど、一般的なサーバーのOSは、公開情報の条件には当てはまりません。ただし、Alpine Linuxは小型の機器やクラウドのサーバーにも使われているため、「うちのサーバーや機器に、Alpine Linuxで動いているものがあるか」を開発会社や保守担当に確認しましょう。当てはまるなら、更新を急ぐ案件です。
この記事では、公式の発表にもとづいて、分かっていることと、発注者が確認することを整理します（執筆時点：2026年11月11日 15時）。攻撃の具体的な手順は書きません。
OpenSSHの脆弱性（CVE-2026-123158）、分かっていることの要点
OpenSSH（＝サーバーを遠隔で操作するときに使う「SSH」という接続方法の、最も広く使われているソフト）は、多くのLinuxサーバーに入っています。今回の欠陥は、その中でも特定の組み合わせだけで起きるものです。
📰 出典：OpenSSH「Release Notes（OpenSSH 10.6p2）」
📰 出典：Alpine Linux「openssh-server: password authentication bypass」
| 項目 | 公開されている内容 |
|---|---|
| 対象 | OpenSSH 10.6p2より前。musl libc（＝プログラムの土台になる部品の1つ）を使い、PAM（＝ログインの確認をOSの仕組みに任せる機能）を使わない構成のLinux |
| 代表例 | Alpine Linux（標準のopenssh-serverがこの構成） |
| 内容 | パスワードでのログインを受け付ける設定のとき、本来パスワードではログインできないはずのアカウント（rootなど）に、パスワードを知らなくてもログインされるおそれがある |
| 修正版 | OpenSSH 10.6p2（2026年11月5日公開）。Alpine Linuxは3.16〜3.24の各版に修正パッケージを公開 |
| 深刻度 | CVSS v3.1で8.1（重要）。OpenSSHの発表は「critical（重大）」な回避策としている |
CVSS（＝脆弱性の深刻さを0〜10点で表す世界共通の指標）の8.1は、上から2番目の区分です。ただ、ログインを丸ごと乗っ取られる性質の欠陥なので、点数以上に重く受け止める必要があります。
悪用の状況：修正版の公開から2日で観測
📰 出典：JPCERT/CC「OpenSSHにおける認証回避の脆弱性（CVE-2026-123158）について」
📰 出典：GreyNoise「SSHole（CVE-2026-123158）」
- 修正版と同じ11月5日に、検証用のプログラムがインターネット上に公開されました
- 攻撃を観測している米国のGreyNoise社は、11月7日に最初の悪用の成功を観測したと公表しています。侵入後には、パスワード情報の読み取りや、あとから入り直すための鍵の追加が試みられていました
- 米国CISAは11月9日、この脆弱性を「悪用が確認された脆弱性」の一覧（KEV）に追加しました
- JPCERT/CCは、国内でもAlpine Linuxをもとにした商用製品が使われていると注意を呼びかけています。一方で、国内の組織での被害は、11月9日時点で確認していないとしています
📰 出典：CISA「Known Exploited Vulnerabilities Catalog」
発注者にとって何が変わるか、変わらないか
ここからは筆者の見解です。事実と分けて読んでください。
変わること：「Alpine Linuxを使っているか」が確認事項になる
Alpine Linuxは、とても小さく軽いLinuxです。発注者の目に触れにくい場所で使われていることが多いのが特徴です。
- クラウドやVPS（＝借りる仮想サーバー）で、軽さを理由に選ばれたサーバー
- ネットワーク機器・録画機器・計測機器など、中身にLinuxが入っている商用製品
- 開発会社が用意した、検証用や踏み台（＝社内のサーバーに入るための中継役）のサーバー
「どのOSで動いているか」を発注者が把握しているケースは多くありません。今回のように特定のOSだけが対象になるニュースでは、一覧があるかどうかで、確認にかかる時間が大きく変わります。
変わらないこと：多くのサーバーやDocker環境は対象外
- Ubuntu・Debian・Red Hat系・Amazon Linuxなどは、一般にmuslではなくglibcという別の部品を使います。公開情報の条件には当てはまりません（念のため、開発会社に確認してもらうと確実です）
- Docker（＝アプリを箱に詰めて動かす仕組み）のコンテナは、Alpine Linuxで作られていることがよくあります。ただしAlpine Linuxの発表では、コンテナの中でSSHのサーバー（sshd）を動かしていなければ影響はないとされています。通常のWebアプリのコンテナは、sshdを動かしていないことがほとんどです
- パスワードでのログインを止め、鍵（＝専用のファイル）だけでログインする設定にしているサーバーも、条件に当てはまりません
つまり、「SSHを使っている＝危ない」ではありません。それでも、条件に当てはまるかどうかは外からは分からないので、確認は必要です。
見落としやすい点：更新しただけでは直らない
Alpine Linuxの発表では、パッケージを更新したあと、SSHのサービスを再起動するまでは、古いプログラムが動き続けると注意されています。また、Alpine Linuxの公式クラウドイメージ（＝サーバーのひな形）の一部は、すでに作ったサーバーすべてで対応が必要とされています。「更新しました」の報告を受けたら、再起動まで済んでいるかも確かめましょう。
今やるべきこと、様子見でいいこと
今やること
- Alpine Linuxで動いているサーバー・機器があるか確認する。開発会社・保守担当・機器の販売元に聞きます。サーバーの一覧があれば、それを見ながら確認すると早いです。
- 当てはまるなら、OpenSSHの更新とSSHの再起動を依頼する。すぐに更新できない場合は、パスワードでのログインを止める（鍵だけにする）方法が、公式に案内されています。
- すでに入られていないか確認してもらう。公開期間中に条件に当てはまっていたなら、身に覚えのないログインの記録や、追加された鍵・ユーザーがないかを調べてもらいます。Alpine Linuxは、ログインがなかったと言い切れない場合は、侵害されたものとして扱うよう勧めています。
- 商用の機器は、販売元の案内を確認する。機器の中身は発注者や開発会社では更新できないことが多いため、販売元が修正版を出しているかを確かめます。
- SSHがインターネットに開いていないか見直す。SSHの入口を社内や特定の場所からだけに絞っておくと、今回のような欠陥が出たときの被害を小さくできます。
様子見でよいこと
- 対象外と確認できたサーバー（Ubuntu・Amazon Linuxなど）での緊急の作業。通常の更新の予定どおりで構いません。
- Alpine Linuxをやめて、ほかのOSに乗り換えること。今回は更新で直る欠陥です。乗り換えは、保守のしやすさなどを含めて、落ち着いてから相談すれば十分です。
OSの更新を誰が担当するかは、サーバーの種類ごとに違います。考え方は、Linuxカーネルの脆弱性を取り上げた次の記事で解説しています。
開発会社に聞くときのチェックリストと質問例
- ☐ Alpine Linux（またはmuslを使うLinux）で動いているサーバー・機器はあるか
- ☐ そのサーバーでSSHのサーバーを動かしているか。パスワードでのログインは有効か
- ☐ SSHの入口は、インターネットのどこからでも接続できる状態か
- ☐ OpenSSHの修正版への更新と、SSHの再起動はいつ終わるか
- ☐ 公開期間中に不審なログイン・鍵の追加・ユーザーの追加がなかったか、確認してくれるか
- ☐ 社内で使っている機器のうち、中身がAlpine Linuxのものはあるか。販売元の対応状況はどうか
- ☐ 今回の更新作業と調査の費用は、今の保守契約に含まれているか
- ☐ サーバーごとのOSと、更新の担当者の一覧はあるか
質問例：
> 「OpenSSHの脆弱性（CVE-2026-123158）が悪用されていると聞きました。うちのシステムに、Alpine Linuxで動いていてSSHを使っているサーバーや機器はありますか。あれば、更新と再起動の予定、不審なログインがなかったかの確認をお願いできますか。費用が保守契約の範囲に入るかも教えてください。」
もし作った会社と連絡が取りにくい状態なら、次の記事の手順で、確認の窓口を先に作り直しましょう。
まとめ
- OpenSSHに、パスワードを知らなくてもログインされるおそれのある脆弱性（CVE-2026-123158／SSHole）が公開された。修正版は10.6p2（11月5日）
- 影響はAlpine Linuxなど、muslを使いPAMを使わないLinuxに限られる。Ubuntu・Red Hat系・Amazon Linuxなどは条件に当てはまらない
- 11月7日に悪用が観測され、11月9日には米国CISAの悪用確認済みの一覧にも載った
- 当てはまるサーバー・機器があるかを、まず開発会社・保守担当・販売元に確認する
- 更新のあとはSSHの再起動まで。公開期間中に入られていないかの確認も、あわせて依頼する
最新の状況は変わる可能性があります。この記事は、公開された情報が増えた時点で追記します。
あわせて読みたい関連記事
