OpenSSH 團隊於 2026 年 11 月 5 日發佈 Portable OpenSSH 10.6p2，修補一個可經 sshd 觸發的密碼認證繞過漏洞。官方說明指出，問題主要影響使用 musl libc 並且在編譯時關閉 PAM 支援的 Linux 系統；在這種組合下，攻擊者有機會跳過密碼驗證程序取得登入權限。當局將此問題定性為關鍵安全修正，並罕有地以獨立修補版本形式即時推出，而非等待下一個例行版本。
漏洞成因與影響範圍
根據官方 release notes [1]，漏洞的根因被認為在 sshd 之外，但可以經由 sshd 被利用，因此團隊選擇在 sshd 層面加入規避措施。受影響的條件相當具體：系統必須以 musl libc 編譯，同時停用 PAM。一般以 glibc 為基礎、並保留 PAM 的發行版，並不在這個組合之內。
這一點對香港及亞洲地區的營運者尤為重要。近年不少精簡容器映像、Alpine 系基底系統以及嵌入式裝置，都採用 musl 並刻意關閉 PAM 以減低體積與相依性，正好落入受影響範圍。若相關主機對外開放 SSH，管理員應假設密碼認證可能已被繞過，並檢查登入紀錄有否異常來源。
漏洞由 Wakefield 的 Özgün Kültekin 報告。官方未有在新聞稿中給出 CVE 編號，文檔僅以安全修正條目描述，因此企業內部風險登記宜直接引用 10.6p2 版本號，而非依賴 CVE 資料庫。
開發團隊改變發佈節奏
今次公告有一段值得注意的說明。OpenSSH 團隊表示，近期收到大量安全報告，當中不少來自 AI 模型或借助 AI 完成的分析。團隊強調，多數報告在現實威脅模型下並無實際安全影響，但仍然歡迎這類回報，特別是附有人手分類、分析、測試案例及修正建議者。
官方更指出，已多次出現同一問題由 AI 工具發現後，再被另一位研究員獨立發現的情況，意味未有向開源項目回報漏洞的攻擊者，同樣有能力找出這些問題。有見及此，團隊決定暫時改為更頻密地推出版本，以便盡快將修正送到用戶手上，而不再集中等待下一個預定版本。這種「細步快出」的做法，與過往累積修正後一次過發佈的慣例明顯不同，亦意味運維團隊今年下半年要更頻繁地檢視 OpenSSH 更新。
升級與檢查建議
最直接的做法是升級至 10.6p2。發行版用戶應優先跟隨官方套件渠道，因為各發行版會另行回溯修正；自行編譯的環境則應重新編譯並核對官方提供的 SHA256 校驗值。由於 checksum 以 base64 編碼而非十六進制，比對時要留意工具預設格式。
10.6p2 同時包含多項修正，包括允許 ssh-mldsa44-ed25519 作為認證機構簽章演算法、修正使用 ChannelTimeout 時短暫的 CPU 空轉，以及在 seccomp 沙箱中允許 restart_syscall(2)。另外，scp -R 遠端對遠端複製選項已進入棄用階段，由 10.6 起使用時會向標準錯誤輸出警告，未來版本將忽略此選項並改用預設的中轉複製行為。依賴該 flag 的自動化腳本宜及早改寫，以免日後靜默失效。
官方亦預告，未來將移除對不支援檔案描述符傳遞、且配置 PTY 需要 root 權限的舊平台支援，已知例子包括 SCO OpenServer 5 與 QNX 6。仍在運行此類系統的機構，應開始評估替代方案。