OpenSSH 10.6p2: Alpine’de Parola Doğrulama Baypası

OpenSSH projesi 5 Kasım 2026 tarihinde OpenSSH 10.6p2 sürümünü yayımladı. Aynı gün Alpine Linux tarafından paylaşılan güvenlik duyurusu ile birlikte, PAM kapalı sshd (SSH sunucu süreci) kurulumlarında ve PasswordAuthentication (parola ile SSH girişi ayarı) açıkken parolanın bilinmesine gerek kalmadan sisteme girilebilmesi riski paylaşıldı. Açıklamaya göre saldırgan ağ üzerinden SSH erişimine sahipse tek bağlantıda ve tekrar denemeye ihtiyaç duymadan oturum açabiliyor.

OpenSSH ekibi sorunun kök nedenini sshd dışında değerlendirse de zafiyetin sshd üzerinden tetiklenebildiğini ve sshd seviyesinde önlenebildiğini belirterek bu sürümün bir «kritik güvenlik geçici önlemi» barındırdığını bildirdi. Sorunu Özgün Kültekin raporladı. Resmi duyurularda CVE henüz yok; birincil kaynaklarda herhangi bir CVE kodu yer almadı.

Kimler etkileniyor

Alpine Linux duyurusuna göre riskin oluşması için belirli yapılandırma şartlarının bir araya gelmesi gerekiyor:

• openssh-server (PAM desteksiz) kullanımı veya openssh-server-pam paketinde UsePAM no ayarının bulunması,
• sshd yapılandırmasında PasswordAuthentication yes seçeneğinin devrede olması,
• Sistemde parola alanı * olan en az bir hesabın yer alması (Alpine 3.16 sürümünden bu yana bulunan root:* yapılandırması, tiny-cloud (bulut imajlarında sık kullanılan küçük kullanıcı/hesap düzeni) alpine kullanıcısı veya dizin hizmeti hesapları),
• Sistemdeki en az bir yerel hesabın $5$ veya $6$ parola özeti formatına sahip olması.

Alpine açıklamasına göre parola doğrulama adımında 257–1024 bayt aralığındaki uzunluklar bu durumu tetikliyor.

Kimler etkilenmiyor

Aşağıdaki ortamlarda çalışan sistemler bu riskten etkilenmiyor:

• Konteyner içerisinde sshd çalıştırmayan Docker ve benzeri yapılar,
• PasswordAuthentication no ayarını kullanan ve yalnızca anahtarla giriş kabul eden sunucular,
• openssh-server-pam paketiyle birlikte UsePAM (PAM (Pluggable Authentication Modules; eklenti kimlik doğrulama)) yes ayarını çalıştıran sistemler,
• Gölge parola dosyasında hesapları ! işaretiyle kilitlenmiş yapılar,
• Sistemde $ biçiminde parola özeti hiç bulunmayan kurulumlar,
• Bulut sağlayıcılarının ilk açılışta PasswordAuthentication no tanımladığı imajlar (sonradan $6$ özeti eklenirse tiny-cloud yapılandırmalarında risk oluşabilir).

Düzeltme ve geçici önlem

Geliştiriciler sorunun giderilmesi için OpenSSH 10.6p2 sürümüne geçilmesini öneriyor. Alpine Linux depolarında düzeltilmiş paketler kullanıma sunuldu: edge dalı için 10.6_p2-r0; 3.24 için 10.3_p1-r2; 3.23 için 10.2_p1-r1; 3.22 için 10.0_p1-r11; 3.21 için 9.9_p2-r1 paketleri yayımlandı. Ayrıca Alpine 3.16–3.20 sürümleri için de yamalı paketler sağlandı. Güncellenmiş sistem imge sürümleri ise 3.21.10, 3.22.8, 3.23.8 ve 3.24.4 olarak duyuruldu. Paket güncellemesinin ardından sshd sürecinin yeniden başlatılması gerekiyor.

Paket yükseltmesi anında uygulanamıyorsa geçici önlem olarak PasswordAuthentication no ayarının yapılması tavsiye ediliyor. Bu değişiklik öncesinde SSH anahtarıyla erişimin sorunsuz çalıştığından emin olunmalıdır.

Türkiye açısından

Türkiye açısından bakıldığında, Alpine Linux tabanlı sanal sunucu (VPS), tiny-cloud şablonları, konteyner ana makineleri ve gömülü sistemler üzerinde sshd çalıştıran kurumların parola ile giriş ayarlarını denetlemesi gerekiyor. Türkiye’de etkilenen kurum veya sunucu sayısı hakkında yayımlanmış resmi bir veri bulunmuyor.

Ne yapmalısınız

• Sisteminizi OpenSSH 10.6p2 veya dağıtımınızın sağladığı düzeltilmiş paket sürümüne yükseltin.
• Paket kurulumunun hemen ardından sshd servisini yeniden başlatın.
• Mümkün olan tüm sunucularda PasswordAuthentication no yapılandırmasına geçerek yalnızca anahtar tabanlı kimlik doğrulamayı etkinleştirin.
• SSH servisinin doğrudan internete açık olup olmadığını gözden geçirin ve erişim kısıtlamalarını kontrol edin.

Kaynaklar

• OpenSSH — Portable Release Notes 10.6p2, 5 Kasım 2026
• Alpine Linux — openssh-server password authentication bypass, 5 Kasım 2026
• The Hacker News — OpenSSH emergency fix, 5 Kasım 2026

Temsili görsel: OpenBSD sshd başlangıç ekranı — Hpott, Wikimedia Commons (CC BY-SA 4.0), 1200×675. Olay ekran görüntüsü değildir; Alpine/OpenSSH ihlaliyle doğrudan bağlantılı bir fotoğraf değildir.