Vulnerabilidad CVE-2026-123158: acceso sin contraseña en Linux
Un fallo de seguridad que permanecía oculto desde hace años
La vulnerabilidad CVE-2026-123158 representa uno de los descubrimientos más significativos en seguridad informática reciente, exponiendo un problema crítico que ha permanecido latente durante aproximadamente una década en ciertos sistemas Linux. Este fallo de seguridad permite a usuarios no autorizados acceder remotamente a sistemas específicos sin necesidad de conocer las contraseñas válidas, comprometiendo gravemente la integridad de equipos que se creían protegidos mediante medidas de seguridad aparentemente robustas.
El investigador de ciberseguridad Özgün Kültekin, con sede en Wakefield, identificó esta vulnerabilidad CVE-2026-123158 relacionada con la interacción entre componentes aparentemente seguros del sistema. Su descubrimiento se comunicó públicamente el 5 de noviembre, momento en el cual tanto OpenSSH como Alpine Linux distribuyeron correcciones de emergencia para detener la explotación de este fallo crítico. La importancia de este hallazgo radica en que expone cómo medidas de seguridad independientes, cuando se combinan de formas inesperadas, pueden generar vulnerabilidades completamente nuevas.
Entendiendo el protocolo SSH y los mecanismos de autenticación
Para comprender cómo funciona esta brecha de seguridad, es fundamental conocer SSH, el protocolo de acceso remoto más utilizado en la administración de servidores Linux. SSH permite conectarse de manera segura a ordenadores remotos a través de la red, facilitando la gestión de servidores sin necesidad de estar físicamente presente. OpenSSH es la implementación más popular de este protocolo, ofreciendo dos métodos de autenticación: contraseñas tradicionales y claves criptográficas que verifican la identidad del usuario de forma alternativa.
En sistemas Linux, la información de verificación de contraseñas se almacena en el archivo /etc/shadow. Cuando una cuenta está configurada para rechazar autenticación por contraseña, su entrada en este archivo contiene un asterisco (*). Esta configuración es una práctica común de seguridad en cuentas administrativas, que deben accederse únicamente mediante claves criptográficas. El problema emerge cuando los procesos de validación interactúan de manera inesperada con esta restricción de seguridad.
El mecanismo de explotación del fallo CVE-2026-123158
El núcleo de esta vulnerabilidad radica en cómo OpenSSH maneja la verificación de contraseñas cuando intenta autenticar cuentas que supuestamente no aceptan este método. Según el análisis técnico de Kültekin, cuando OpenSSH busca datos de autenticación en una cuenta protegida y no encuentra información válida, utiliza erróneamente información de otra cuenta para ejecutar la verificación de contraseña. Esta confusión en el procesamiento crea una ventana de explotación inesperada.
El fallo específico ocurre cuando se introducen contraseñas de longitud inusual, concretamente entre 257 y 1.024 bytes. Cuando la biblioteca musl procesa estas contraseñas largas, devuelve un asterisco para indicar error. La paradoja es que este mismo símbolo existe en la cuenta protegida como indicador de que no acepta contraseñas. El servidor OpenSSH interpreta ambos valores como coincidentes, permitiendo erróneamente el acceso a una cuenta que debería estar completamente bloqueada para autenticación por contraseña.
Una historia de cambios independientes que colisionaron
La génesis de esta vulnerabilidad CVE-2026-123158 es particularmente reveladora sobre cómo evolucionan los sistemas de seguridad. El problema no surgió de una única decisión defectuosa, sino de la intersección de múltiples cambios de seguridad implementados en diferentes momentos y por diferentes equipos sin coordinación.
En 2012, la biblioteca musl modificó la forma en que comunicaba determinados errores y estableció límites de longitud al procesar contraseñas, buscando prevenir ataques de denegación de servicio. Cuatro años después, en 2016, OpenSSH introdujo cambios para impedir que atacantes descubrieran qué usuarios existían en un sistema midiendo variaciones en los tiempos de respuesta. Posteriormente, en 2022, Alpine Linux ajustó su configuración de cuenta administrativa para permitir acceso mediante claves SSH. Cada una de estas soluciones era correcta y resolvía un problema real de seguridad, pero su combinación accidental generó una nueva brecha.
¿Qué sistemas están realmente en riesgo?
No todos los sistemas Linux están igualmente expuestos a esta vulnerabilidad CVE-2026-123158. Alpine Linux es principalmente vulnerable, pero solo si se cumplen múltiples condiciones de forma simultánea. Según el análisis de la firma de ciberseguridad Check Point, la vulnerabilidad requiere que OpenSSH funcione sin PAM (un mecanismo estándar para gestionar autenticación), que acepte autenticación por contraseña, y que exista una cuenta con el asterisco mencionado. Además, debe haber otra cuenta local activa con un hash de contraseña generado mediante SHA-256 o SHA-512.
Los sistemas que desactivan completamente la autenticación por contraseña o utilizan PAM para gestionar la autenticación quedan fuera del alcance de este fallo. Las imágenes de Alpine Linux utilizadas en entornos en la nube representan un riesgo particular, especialmente si posteriormente se configuran cuentas adicionales con contraseñas. En estos escenarios, un atacante podría potencialmente obtener control total del sistema, especialmente si la cuenta comprometida dispone de permisos de administrador.
Indicios de explotación activa en entornos reales
La amenaza no es puramente teórica. La firma Previdian reportó haber detectado ocho intentos de explotación de esta vulnerabilidad CVE-2026-123158 originados desde una misma dirección IP. Más preocupante aún, confirmaron al menos un acceso exitoso con privilegios de administrador en uno de sus servidores señuelo diseñados específicamente para detectar ataques. Esto demuestra que actores maliciosos ya conocen la vulnerabilidad y están intentando explotarla activamente en sistemas reales.
Acciones inmediatas de remediación disponibles
La respuesta de los desarrolladores ha sido rápida y coordinada. OpenSSH lanzó la versión 10.6p2 el 5 de noviembre específicamente para corregir este fallo crítico. Alpine Linux distribuyó actualizaciones para múltiples ramas de su sistema operativo, incluidas versiones antiguas que normalmente ya no reciben actualizaciones de seguridad. Sin embargo, aplicar los parches no es suficiente: es imprescindible reiniciar el servicio SSH para que utilice el código corregido.
Para usuarios que no pueden actualizar inmediatamente, Alpine recomienda desactivar la autenticación mediante contraseña en OpenSSH y reiniciar el servicio correspondiente. Esta medida es temporal pero efectiva. Antes de implementarla, es crítico verificar que el acceso mediante claves criptográficas funciona correctamente, para evitar quedarse bloqueado sin acceso al sistema. Los administradores deben priorizar estas actualizaciones como críticas en su calendario de mantenimiento de seguridad.
Conclusiones sobre el impacto futuro en seguridad Linux
La vulnerabilidad CVE-2026-123158 sirve como recordatorio importante sobre cómo la seguridad informática moderna es un ecosistema complejo donde múltiples componentes deben interactuar de forma segura. Este fallo demuestra que incluso decisiones de seguridad bien intencionadas, cuando se combinan con cambios posteriores en otros sistemas, pueden crear vulnerabilidades inesperadas. La comunidad de seguridad Linux debe mantener especial vigilancia sobre cómo los cambios de seguridad en diferentes capas del sistema pueden interactuar, realizando pruebas exhaustivas antes de desplegar nuevas configuraciones en entornos de producción.
