Falha crítica no OpenSSH permite login sem senha em alguns servidores Alpine Linux

Uma falha crítica no OpenSSH deixa alguns servidores Alpine Linux expostos a invasões. A correção já foi lançada, e quem não pode atualizar deve desligar o login por senha.

06/11/2026 às 01:52

O que aconteceu

Um erro no OpenSSH, programa usado para acessar servidores à distância pelo SSH, permite entrar em contas sem senha. O problema atinge alguns servidores com Alpine Linux, uma versão enxuta do Linux.

O OpenSSH classificou a falha como crítica. Ontem, 5 de novembro, a equipe lançou a versão 10.6p2 com a correção. O pesquisador Özgün Kültekin foi quem relatou o problema.

Para explorar a falha, o invasor precisa de acesso à rede do servidor, do nome de uma conta sem senha e de uma senha com 257 a 1.024 bytes. Um único login já basta. Até agora, ninguém relatou ataques. A Alpine publicou pacotes corrigidos para todas as versões desde a 3.16. Ainda não há CVE atribuído.

Por que isso importa

A falha é simples de usar e atinge um componente comum em servidores. Por isso, qualquer máquina com a configuração errada pode ser invadida sem aviso. A equipe do OpenSSH também disse que agentes de IA encontram falhas como essa em horas, o que diminui o tempo para corrigir antes de ataques.

Como isso afeta você

Se você administra um servidor Alpine Linux com o OpenSSH e com login por senha ligado, sua máquina pode estar exposta. Isso pesa mais em empresas e provedores de nuvem.

Se você usa apenas computador pessoal, celular ou hospedagem comum, provavelmente nada muda para você agora. Imagens de nuvem do tiny-cloud, entre as versões 3.18.11 e 3.24.3, também merecem atenção. Containers sem SSH e servidores com login por senha desligado não são afetados.

O que você pode fazer

De forma geral, quem administra servidores deve atualizar o sistema e reiniciar o SSH assim que a correção estiver disponível. Se não der para atualizar agora, desligue o login por senha, com cuidado para não perder o acesso. Se não der para descartar um acesso indevido, trate a máquina como comprometida.

Atualize os pacotes do Alpine com o gerenciador apk.
Reinicie o serviço sshd para a correção valer.
Se não puder atualizar, desligue o login por senha no sshd.
Confira se o login por chave continua funcionando antes de mudar a configuração.
Verifique os logs em busca de logins aceitos sem senha.

Glossário

SSH: SSH é um protocolo que permite acessar outro computador ou servidor à distância, pela internet ou pela rede, de forma criptografada e segura. Ele é muito usado por quem administra sistemas por linha de comando.
CVE: CVE é a sigla para Common Vulnerabilities and Exposures, um código padronizado que identifica uma falha de segurança específica, para que todos a reconheçam pelo mesmo nome. Por exemplo, um número como CVE-2024-XXXX funciona como um registro único de uma vulnerabilidade.
Linux: Linux é um sistema operacional livre, de código aberto, que roda em servidores, celulares, computadores e muitos outros aparelhos. Ele é a base de distribuições como Ubuntu e Debian.
agentes de IA: Agentes de IA são sistemas de inteligência artificial que recebem um objetivo e conseguem executar várias etapas sozinhos, como pesquisar informações, usar ferramentas e decidir o próximo passo. Diferente de um chatbot que só responde perguntas, o agente age para chegar ao resultado.
IA: IA (inteligência artificial) é a área da computação que cria sistemas capazes de executar tarefas que normalmente exigem raciocínio humano, como reconhecer imagens, entender a fala ou escrever textos.
cloud: Cloud é um modelo em que programas, dados e processamento ficam em servidores remotos, acessados pela internet, em vez de no computador do usuário. Em português, costuma ser chamado de nuvem.
servidor: Servidor é um computador, ou programa, que fica ligado o tempo todo e atende pedidos de outros computadores, como quando você abre uma página na internet. Ele guarda informações e as entrega sempre que alguém pede.
correção: Correção é uma queda de pelo menos 10% no preço de um ativo, como uma ação ou um índice, em relação ao maior valor recente dele. Costuma indicar que o mercado está em baixa, mas não é um sinal definitivo de crise.
login: Login é o processo de entrar em um sistema, aplicativo ou conta, provando quem você é, geralmente com usuário e senha. É como se identificar antes de usar um serviço.
agentes: Agentes, no contexto de IA, são programas que usam inteligência artificial para executar uma sequência de tarefas por conta própria, em vez de apenas responder a uma pergunta. Eles planejam os passos, usam ferramentas e verificam o resultado até chegar ao objetivo pedido.
nuvem: Nuvem é o conjunto de servidores espalhados pela internet, geralmente de empresas especializadas, que guardam arquivos e executam programas no lugar do seu computador ou celular. Quando você usa a nuvem, a máquina que faz o trabalho pesado fica em outro lugar.