事件经过
当sshd未使用PAM构建（musl libc）时，它将提供的密码用crypt()哈希后与存储字段比较；对于密码字段为‘*’的账户（仅密钥/无密码），长密码（256-1024字符）情况被误读并允许认证。利用在披露后约9小时内开始；2026-11-09被加入CISA KEV（截止2026-11-12）。
影响分析
一次性、未认证的认证绕过，影响许多团队用于运行模型服务、机器学习工具和AI容器工作负载的Alpine/musl镜像，使攻击者能够在运行AI基础设施的主机上获得交互式shell，且利用时间窗口与提示中标记的AI驱动武器化一致。KEV运营信号要求立即修补。
攻击途径
能够到达SSH端口的远程未认证攻击者向一个/etc/shadow密码字段为‘*’（未设置密码的账户）的账户发送256-1024字符密码，无PAM的sshd会误解并接受——一次连接中无需重试即可认证绕过
受影响系统
Linux上使用musl libc构建且无PAM的OpenSSH 10.6p2之前版本（Alpine Linux）；Alpine openssh-server包，分支3.16-3.24和edge（修复版本：3.21.10、3.22.8、3.23.8、3.24.4、edge 10.6_p2-r0）
缓解措施
按分支更新openssh至修复版本并重启sshd（升级包不会自动重启）；或设置PasswordAuthentication no；或使用openssh-server-pam并设置UsePAM yes；检查sshd日志中无密码账户的‘Accepted password’，如果无法排除登录，则将暴露的主机视为已受损（https://alpinelinux.org/posts/2026-11-05-openssh-password-authentication-bypass/）