Eine kürzlich veröffentlichte OpenSSH-Schwachstelle wird bereits aktiv ausgenutzt – und wenn Ihr Unternehmen Docker-Container, CI/CD-Pipelines oder schlanke Cloud-Linux-Images einsetzt, besteht eine reale Chance, dass Sie betroffen sind, ohne es zu wissen.
Was ist passiert
Am 5. November 2026 veröffentlichte Alpine Linux ein Sicherheits-Advisory zu CVE-2026-123158, genannt «SSHole». Es handelt sich um eine Authentifizierungs-Umgehung im openssh-server-Paket von Alpine Linux – einer der meistgenutzten Basis-Images für Docker-Container wegen ihrer geringen Grösse. Die Lücke erlaubt Angreifern, sich bei Konten ohne gesetztes Passwort anzumelden – etwa bei Key-only-Benutzern – ohne irgendein Passwort zu kennen, sobald sie den SSH-Port erreichen können.
Der technische Auslöser ist spezifisch: Das System benötigt mindestens ein Konto ohne Passwort (Passwortfeld auf * gesetzt) sowie ein weiteres lokales Konto mit einem echten Passwort-Hash. Ein Angreifer sendet ein überlanges Passwort – zwischen 257 und 1024 Byte – in einem einzigen Verbindungsversuch und gelangt direkt hinein.
Das ist relevant, weil Alpine-Images im Gegensatz zu vielen vollständigen Linux-Distributionen standardmässig kein PAM (Pluggable Authentication Modules) aktivieren. Genau dieses fehlende Sicherheitsnetz macht die Umgehung möglich. Viele Unternehmen nutzen Alpine, ohne diesen Unterschied zu kennen, weil es die Standard-Basis für unzählige Container-Images ist, die direkt aus öffentlichen Registries bezogen werden.
Warum es dringend ist, nicht routinemässig
Laut Berichterstattung von The Hacker News beobachtete die Threat-Intelligence-Firma Previdian den ersten Ausnutzungsversuch weniger als neun Stunden nach Veröffentlichung der CVE. Sie bestätigten, dass Angreifer vollen Root-Zugriff auf einem Honeypot mit Alpine Linux und OpenSSH erlangten. Das ist keine theoretische Lücke, die erst noch zur Waffe gemacht werden muss – sie wird bereits in den Stunden nach der Offenlegung aktiv ausgenutzt. Das heisst: Jeder exponierte SSH-Port ist jetzt ein echtes Risiko.
Für Schweizer KMU ist die Gefährdung oft nicht offensichtlich. Wenn Sie oder ein Entwickler schnell einen Container für einen Microservice, eine Staging-Umgebung, einen CI/CD-Runner oder einen schlanken VPS mit einem Alpine-basierten Cloud-Image aufgesetzt haben, könnte dieses System genau mit dieser Schwachstelle offen im Internet stehen – und niemand kontrolliert Container auf SSH-Härtung so, wie man einen Laptop oder eine Firewall prüft.
Was heute zu tun ist
- Sofort patchen. Aktualisieren Sie auf OpenSSH 10.6p2 oder das gepatchte Paket Ihrer Distribution und starten Sie sshd neu. Warten Sie nicht auf das nächste geplante Patch-Fenster.
- Falls sofortiges Patchen nicht möglich ist, mindern Sie jetzt das Risiko. Deaktivieren Sie die Passwort-Authentifizierung komplett (nur Key-basierte Anmeldung) oder aktivieren Sie PAM mit UsePAM yes in der sshd-Konfiguration.
- Prüfen Sie noch heute Ihre Logs. Suchen Sie in sshd-Logs nach Einträgen mit «Accepted password» für ein Konto, das eigentlich kein Passwort haben sollte – häufige Beispiele sind alpine, root oder ein Key-only-Service-Konto. Falls Sie etwas finden, behandeln Sie das System als kompromittiert und untersuchen Sie es weiter.
- Inventarisieren Sie Ihre Container und Cloud-Images. Listen Sie alle Alpine- oder musl-basierten Systeme auf, die dem Internet ausgesetzt sind, einschliesslich CI/CD-Runner, Staging-Server und Microservices. Wenn die IT nicht genau weiss, wo diese laufen, ist das die erste Lücke, die geschlossen werden muss.
- Beschränken Sie den SSH-Zugang generell. Wo möglich, platzieren Sie den SSH-Zugriff hinter einem VPN oder Bastion-Host, statt den Port offen im öffentlichen Internet zu lassen.
Das grössere Bild
SSHole ist die neueste Erinnerung daran, dass sich moderne IT-Infrastruktur – Container, Cloud-Images, CI/CD-Pipelines – schneller bewegt, als die meisten Unternehmen manuell nachverfolgen können. Eine Lücke wie diese kann in unter neun Stunden von der Offenlegung zur aktiven Ausnutzung übergehen, was fast keinen Raum für ein «schauen wir nächsten Monat mal rein» lässt.
Genau diese Art von schnell bewegendem Risiko verfolgen wir laufend, denn ein paar statische Checklisten reichen nicht mehr aus – neue Schwachstellen in weit verbreiteter Infrastruktur tauchen fast wöchentlich auf, und Unternehmen brauchen jemanden, der kontinuierlich wachsam ist, nicht nur zweimal im Jahr patcht.
Wenn Ihr Unternehmen auf Container, Cloud-Server oder eine Mischung aus IT-Systemen setzt und Sie nicht sicher sind, ob so etwas auf Sie zutrifft, lohnt sich genau diese Unsicherheit zu klären. TMC unterstützt Schweizer KMU mit praxisnahem IT-Support – von der Prüfung solcher Schwachstellen bis zu umfassender Netzwerksicherheit und Automatisierung – mit einer kostenlosen Netzwerk-Analyse und einer kostenlosen einstündigen Beratung zum Einstieg. Wir beobachten dieses Thema weiter und berichten über das, was als Nächstes wichtig wird.
Schweiz.