[{"data":1,"prerenderedAt":258},["ShallowReactive",2],{"seo-verification":3,"blog-openssh-10-6-mise-a-jour-securite-sshd-fr":6},{"google":4,"bing":5},"EycwPY2XMyTkVzas3n1ygeNJFGAH513qrMjfDljzsMQ","",{"key":7,"data":8},"blog-openssh-10-6-mise-a-jour-securite-sshd-fr",{"id":9,"slug":10,"slugs":11,"title":15,"excerpt":16,"readTime":17,"views":18,"isPinned":19,"publishedAt":20,"updatedAt":21,"category":22,"categories":28,"featuredImage":30,"bgImage":31,"posterImage":32,"relatedSolution":30,"intro":33,"sections":34,"ctaTitle":203,"ctaBody":204,"ctaButton":205,"ctaUrl":206,"relatedPosts":207},494,"openssh-10-6-mise-a-jour-securite-sshd",{"fr":10,"en":12,"ar":13,"es":14},"openssh-10-6-security-update-sshd","تحديث-openssh-10-6-أمان-sshd","openssh-10-6-actualizacion-seguridad-sshd","OpenSSH 10.6 : mettre à jour sshd sans couper l'accès","Mise à jour de sécurité OpenSSH 10.6 : vérifier la version réellement active, ce qui peut casser (ProxyCommand, Compression) et recharger sshd sans risque.",12,0,false,"2026-10-22T00:00:00+00:00","2026-10-23T13:27:02+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},8,"Sécurité & Monitoring","securite-monitoring","bg-rose-500\u002F10 text-rose-400","security",[29],{"id":23,"name":24,"slug":25,"color":26,"icon":27},null,"\u002Fblog\u002Fcovers\u002Fbg.svg","\u002Fblog\u002Fcovers\u002Fopenssh-10-6-mise-a-jour-securite-sshd-poster.svg","OpenSSH 10.6 apporte huit correctifs de sécurité sans en nommer aucun par une CVE, et votre distribution affiche probablement un tout autre numéro de version. Pour une agence qui administre des dizaines de serveurs clients, la question n'est donc pas « faut-il passer en 10.6 ? », mais « mes serveurs portent-ils ces correctifs, et qu'est-ce que leur application va casser ? ». Ce guide vous montre comment lire la version réellement active, repérer les deux changements qui touchent vos scripts, et recharger `sshd` sans perdre l'accès à un seul serveur.",[35,39,51,54,90,112,115,154,157,184,188,191,200],{"type":36,"title":37,"body":38},"h2","Ce que publie OpenSSH 10.6, et ce qu'elle ne dit pas","OpenSSH 10.6, et sa version portable 10.6p1 qu'utilisent les distributions Linux, a été publiée le 6 octobre 2026. Les notes de version annoncent « un certain nombre de correctifs de sécurité », plusieurs nouveautés et quelques corrections de bugs. Elles ne listent aucun identifiant CVE et ne parlent d'aucune exploitation en cours : ce guide s'en tient donc strictement à ce qu'elles écrivent.\n\nL'équipe d'OpenSSH ajoute une précision qui compte pour qui administre un parc. Elle reçoit un grand nombre de signalements produits avec des outils d'IA, constate que plusieurs bugs ont été découverts indépendamment par des chercheurs différents, et en conclut que des attaquants peuvent les trouver aussi. Elle annonce donc des publications plus fréquentes, pour livrer les correctifs plus vite au lieu de les regrouper.\n\nPour une agence, la conséquence est concrète : la mise à jour d'OpenSSH n'est plus un événement annuel. Il vous faut une procédure qui se répète sans risque, serveur après serveur, et qui vous dit à chaque fois ce qui a réellement changé.",{"type":40,"title":41,"items":42},"ul","Les correctifs de sécurité de la 10.6, tels que listés",[43,44,45,46,47,48,49,50],"**sftp** — le client valide plus strictement les chemins renvoyés par le serveur, pour qu'un serveur ne puisse pas faire écrire une copie récursive hors de son répertoire cible.","**GSSAPI** — `sshd` ne conserve les identifiants GSSAPI qu'après une authentification réussie, et réinitialise l'état GSSAPI avant chaque tentative.","**Compression** — le codeur à dictionnaire LZ77 est désactivé, pour fermer un canal auxiliaire : du texte injecté dans un canal pouvait aider à deviner des secrets circulant dans un autre canal de la même session.","**Noms d'utilisateur** — `ssh` refuse les caractères `$` et `\\` dans un nom saisi en ligne de commande, pour éviter une injection dans le shell via `ProxyCommand` ou `Match exec`.","**Certificats** — `ssh-keygen` gère correctement l'heure d'été lors de la conversion des dates ; l'erreur pouvait décaler d'une heure l'expiration d'un certificat.","**Paquets compressés** — un contenu compressé ne peut plus dépasser, une fois décompressé, la taille maximale d'un paquet.","**authorized_keys** — le mot clé `restrict` s'applique désormais aussi au transfert de tunnels (`PermitTunnel`, désactivé par défaut).","**Valeurs none** — certaines options qui acceptent `none`, dont `AuthorizedPrincipalsFile`, étaient lues comme un nom de fichier quand un bloc `Match` les redéfinissait.",{"type":36,"title":52,"body":53},"Le numéro affiché ne dit pas si vous êtes corrigé","L'objection vient vite : aucune CVE dans les notes, aucune distribution stable ne livre la 10.6, et un redémarrage de `sshd` raté peut vous laisser dehors. Pourquoi s'en occuper maintenant ?\n\nParce que les distributions ne suivent pas les numéros de l'amont. Elles gardent la version d'OpenSSH de leur sortie et y reportent les correctifs. Ubuntu l'a fait : les paquets de sécurité publiés le 14 octobre 2026 pour les versions 22.04, 24.04 et 26.04 reprennent les huit correctifs listés plus haut, refus des `$` et des `\\` compris, tout en restant en 8.9p1, 9.6p1 et 10.2p1. À l'inverse, au 22 octobre 2026, le suivi de sécurité de Debian marque encore ces mêmes points comme non corrigés sur Debian 12 et Debian 13, sans avis de sécurité publié ; seules les branches de développement forky et sid livrent la 10.6p1.\n\nUn serveur Ubuntu à jour en 9.6p1 est donc mieux couvert, sur ces points précis, qu'un serveur Debian en 10.0p1. Ce que vous contrôlez, c'est le paquet installé et son journal des modifications. La procédure de contrôle et de rechargement, elle, sera la même pour chaque mise à jour à venir.",{"type":55,"title":56,"headers":57,"rows":61},"comparison","Ce que livrent les distributions au 22 octobre 2026",[58,59,60],"Distribution","Paquet OpenSSH","Correctifs de la 10.6",[62,66,69,73,77,80,83,87],[63,64,65],"Debian 12 (bookworm)","1:9.2p1-2+deb12u10","Non reportés selon le suivi Debian",[67,68,65],"Debian 13 (trixie)","1:10.0p1-7+deb13u4",[70,71,72],"Debian forky et sid","1:10.6p1-1","Inclus (version amont 10.6p1)",[74,75,76],"Ubuntu 22.04 LTS","1:8.9p1-3ubuntu0.18","Reportés par la mise à jour de sécurité",[78,79,76],"Ubuntu 24.04 LTS","1:9.6p1-3ubuntu13.20",[81,82,76],"Ubuntu 26.04 LTS","1:10.2p1-2ubuntu3.8",[84,85,86],"AlmaLinux 8","8.0p1","À vérifier dans les avis Red Hat et AlmaLinux",[88,89,86],"AlmaLinux 9 et 10","9.9p1",{"type":91,"title":92,"steps":93},"steps","Inventorier la version réellement active",[94,97,100,103,106,109],{"title":95,"body":96},"Lire la version du client","`ssh -V` affiche la version du client OpenSSH et celle de sa bibliothèque cryptographique, sur la sortie d'erreur. C'est le client qui applique le contrôle des noms d'utilisateur : sur un poste d'administration ou un bastion, c'est cette version qui compte.",{"title":98,"body":99},"Lire la version du serveur","`sudo \u002Fusr\u002Fsbin\u002Fsshd -V` affiche la version du démon. L'option existe depuis OpenSSH 9.2 : sur un serveur plus ancien, comme AlmaLinux 8 en 8.0p1, elle n'est pas reconnue, et vous passez par le gestionnaire de paquets.",{"title":101,"body":102},"Lire le paquet installé","Sur Debian et Ubuntu : `dpkg -s openssh-server | grep ^Version`. Sur AlmaLinux et Rocky Linux : `rpm -q openssh-server`. Notez le numéro complet, suffixe de la distribution compris : c'est lui que vous comparez au tableau ci-dessus.",{"title":104,"body":105},"Chercher les correctifs dans le journal du paquet","Sur Debian et Ubuntu : `apt changelog openssh-server | head -60`. Sur AlmaLinux : `rpm -q --changelog openssh-server | head -60`. Sur Ubuntu, les entrées `SECURITY UPDATE` mentionnent par exemple « invalid chars in command-line username » ou « incorrect use of LZ77 dictionary coder ».",{"title":107,"body":108},"Vérifier que le service a redémarré","Un paquet à jour ne protège rien si l'ancien démon tourne encore. Comparez `systemctl show -p ActiveEnterTimestamp ssh` (le service s'appelle `sshd` sur AlmaLinux) à la date d'installation du paquet.",{"title":110,"body":111},"Balayer le parc en une commande","Listez vos serveurs dans `serveurs.txt`, un par ligne, puis lancez : `while read -r h; do printf '%s : ' \"$h\"; ssh -n -o BatchMode=yes \"$h\" 'dpkg -s openssh-server 2>\u002Fdev\u002Fnull | grep ^Version || rpm -q openssh-server'; done \u003C serveurs.txt`. Le résultat tient en une ligne par serveur, à classer par famille de système.",{"type":36,"title":113,"body":114},"Ce qui peut casser sur un parc d'administration","Les notes rangent trois points parmi les changements potentiellement incompatibles ; un seul touche vraiment vos scripts.\n\nLe premier est le refus des `$` et des `\\` dans un nom d'utilisateur saisi en ligne de commande, avec `user@hôte` comme avec `-l`. `ssh` s'arrête alors sur `remote username contains invalid characters`. Les cas réels : un compte de domaine de la forme `DOMAINE\\utilisateur`, ou un script qui fabrique la commande `ssh` à partir d'une donnée externe. Un nom écrit en clair dans la directive `User` d'un bloc `Host` n'est pas soumis au contrôle ; le code source montre en revanche qu'un `User` construit avec des jetons `%` l'est. Dans un `ProxyJump`, le nom invalide d'un hôte de rebond est refusé avec `invalid username`.\n\nLe deuxième est la compression : `Compression yes` reste accepté, mais compresse moins bien sans le dictionnaire LZ77. Rien ne casse ; un transfert sur un lien lent peut simplement durer plus longtemps. L'équipe d'OpenSSH recommande de compresser au niveau applicatif plutôt que dans SSH.\n\nLe troisième, la désactivation de `GatewayPorts` et `StreamLocalForwarding`, ne concerne que de vieilles plateformes comme QNX 6 ou SCO OpenServer 5, pas vos serveurs Linux. S'y ajoutent deux effets visibles : `scp -R` affiche un avertissement de dépréciation, et `sshd` journalise par défaut, avec la nouvelle option `WarnWeakCrypto`, les clients qui négocient un échange de clés non résistant aux ordinateurs quantiques.",{"type":55,"title":116,"headers":117,"rows":121},"Changement, impact, action : le tableau de référence",[118,119,120],"Changement de la 10.6","Impact sur un parc","Action",[122,126,130,134,138,142,146,150],[123,124,125],"`$` et `\\` refusés dans un nom saisi en ligne de commande","Scripts et comptes `DOMAINE\\utilisateur` en échec","Écrire le nom en clair dans `User` d'un bloc `Host`",[127,128,129],"Dictionnaire LZ77 désactivé","`Compression yes` moins efficace","Compresser avant le transfert (`tar`, `rsync -z`)",[131,132,133],"Identifiants GSSAPI conservés après succès seulement","Aucun hors authentification Kerberos","Tester une connexion Kerberos après la mise à jour",[135,136,137],"`restrict` appliqué aux tunnels","Une clé `restrict` n'ouvre plus de tunnel","Recenser les clés de service qui reposent sur `PermitTunnel`",[139,140,141],"Valeurs `none` lues correctement dans `Match`","Un `AuthorizedPrincipalsFile none` désactive enfin l'option","Relire les blocs `Match` avec `sshd -T -C`",[143,144,145],"`scp -R` déprécié","Avertissement sur la sortie d'erreur","Retirer `-R` : la copie passe par la machine qui lance `scp`",[147,148,149],"`WarnWeakCrypto` actif côté serveur","Nouvelles lignes dans les journaux de `sshd`","Repérer les clients anciens à mettre à jour",[151,152,153],"Heure d'été corrigée dans `ssh-keygen`","Expirations de certificats auparavant décalées d'une heure","Contrôler les certificats émis près d'un changement d'heure",{"type":36,"title":155,"body":156},"Contrôler la configuration avant de recharger sshd","`sshd -t` vérifie la validité du fichier de configuration et des clés, sans rien démarrer. La page de manuel le recommande précisément pour mettre à jour `sshd` de façon fiable, les options de configuration pouvant changer d'une version à l'autre. Aucune sortie et un code de retour à 0 : le fichier est lisible.\n\n`sshd -T` va plus loin : il affiche la configuration effective, valeurs par défaut comprises. C'est votre photographie avant et après. Pour vérifier un bloc `Match`, simulez une connexion avec `-C`, par exemple `sudo sshd -T -C user=deploy,host=bastion.votre-domaine.com,addr=203.0.113.10`. Les mots clés acceptés sont `user`, `host`, `addr`, `laddr`, `lport` et `rdomain`.\n\nLa commande de rechargement dépend de la famille : le service s'appelle `ssh` sur Debian et Ubuntu, `sshd` sur AlmaLinux et Rocky Linux. Les sessions déjà ouvertes survivent à un rechargement. Sur Ubuntu récent, `ssh.socket` écoute à la place du démon : un changement de `Port` demande `systemctl daemon-reload`, puis le redémarrage de `ssh.socket`.",{"type":91,"title":158,"steps":159},"Dérouler la mise à jour sans se couper l'accès",[160,163,166,169,172,175,178,181],{"title":161,"body":162},"Garder une session de secours ouverte","Ouvrez une session SSH sur le serveur, passez root avec `sudo -i`, et ne la fermez qu'à la toute fin. Si la nouvelle configuration refuse les connexions, c'est par elle que vous corrigez.",{"title":164,"body":165},"Photographier la configuration effective","`sudo sshd -T > \u002Froot\u002Fsshd-T-avant.txt`. Ce fichier vous dira ce que la mise à jour a changé, valeur par valeur.",{"title":167,"body":168},"Mettre à jour les paquets","Debian et Ubuntu : `sudo apt update && sudo apt install --only-upgrade openssh-server openssh-client`. AlmaLinux et Rocky Linux : `sudo dnf upgrade 'openssh*'`.",{"title":170,"body":171},"Tester la configuration","`sudo sshd -t && echo OK`. Si une ligne est refusée, corrigez-la avant toute autre action : un démon qui ne relit pas sa configuration ne démarrera pas non plus au prochain redémarrage du serveur.",{"title":173,"body":174},"Recharger le service","`sudo systemctl reload ssh` sur Debian et Ubuntu, `sudo systemctl reload sshd` sur AlmaLinux. Le paquet a souvent déjà relancé le service : le rechargement ne coûte rien et garantit que la configuration lue est la bonne.",{"title":176,"body":177},"Ouvrir une nouvelle connexion depuis un autre terminal","`ssh -v admin@serveur1.votre-domaine.com`. Connectez-vous réellement, avec la clé et l'utilisateur habituels. Tant que cette connexion n'a pas abouti, la session de secours reste ouverte.",{"title":179,"body":180},"Comparer avant et après","`sudo sshd -T | diff \u002Froot\u002Fsshd-T-avant.txt -`. Une ligne inattendue se règle maintenant, pas le jour où un client appelle.",{"title":182,"body":183},"Étendre au parc par vagues, via le bastion","Un serveur témoin par famille de système d'abord, le reste ensuite. Si vos accès passent par un bastion, mettez-le à jour en dernier, après avoir vérifié vos `ProxyJump` : la mise en place est décrite dans \u003Ca href=\"\u002Fblog\u002Fheberger-bastion-host-vps\">notre guide du bastion SSH sur VPS\u003C\u002Fa>.",{"type":185,"title":186,"body":187},"tip","Durcissement : une procédure, pas une checklist de plus","Ce guide ne refait pas le durcissement de `sshd_config` : `PasswordAuthentication no`, `PermitRootLogin`, `AllowUsers` ou `AllowGroups` et `MaxAuthTries` sont détaillés dans \u003Ca href=\"\u002Fblog\u002Flinux-hardening-vps-checklist\">la checklist de durcissement pour agences\u003C\u002Fa> et dans \u003Ca href=\"\u002Fblog\u002Fdurcissement-serveur-linux-initial\">le durcissement initial d'un serveur Linux\u003C\u002Fa>. Un point change cependant avec un `sshd` amont en 10.6 : la nouvelle option `PubkeyOptions max-pk-ok` laisse un client tester jusqu'à six clés publiques par défaut sans que ces essais comptent dans `MaxAuthTries`. Un `MaxAuthTries` bas cesse donc de rejeter l'administrateur qui a beaucoup de clés dans son agent.",{"type":36,"title":189,"body":190},"Dépannage : les messages que vous risquez de voir","Les messages ci-dessous sont ceux du code source d'OpenSSH 10.6p1. Ils apparaissent dans le terminal pour le client, et dans le journal du service pour le serveur (`journalctl -u ssh` ou `journalctl -u sshd`). Lisez toujours le message complet avant d'agir : la plupart désignent la ligne fautive.",{"type":40,"title":192,"items":193},"Messages d'erreur et remèdes",[194,195,196,197,198,199],"**`remote username contains invalid characters`** — le nom passé en ligne de commande contient `$`, `\\` ou un autre caractère refusé ; écrivez le compte en clair dans `User` d'un bloc `Host`.","**`Bad configuration option: AgentSocketPath`** — une option apparue en 10.6 a été copiée sur un serveur qui ne la connaît pas ; le message cite le fichier et la ligne, et `sshd` s'arrête avec `terminating, 1 bad configuration options`.","**`Missing privilege separation directory: \u002Frun\u002Fsshd`** — `sshd -t` lancé alors que le service est arrêté, sur Debian ou Ubuntu ; créez le répertoire avec `sudo mkdir -p \u002Frun\u002Fsshd`, puis relancez le test.","**`warning: remote\u002Fremote -R copy mode is deprecated and will soon be removed`** — retirez `-R` de vos scripts `scp` avant qu'une prochaine version ne l'ignore.","**`invalid username`** — un hôte de rebond de `ProxyJump` porte un nom refusé ; déplacez le nom dans un bloc `Host` dédié au bastion.","**Port modifié ignoré sur Ubuntu** — `ssh.socket` écoute toujours sur l'ancien port ; lancez `sudo systemctl daemon-reload`, puis `sudo systemctl restart ssh.socket`.",{"type":36,"title":201,"body":202},"Un parc homogène se met à jour avec une seule procédure","Ce qui rend une mise à jour d'OpenSSH risquée, ce n'est pas la version : c'est un parc où chaque serveur a sa propre histoire. Trois distributions, quatre manières de nommer le service, des scripts qui passent des noms d'utilisateur en ligne de commande : chaque écart devient une exception à traiter à la main, souvent un soir où un client attend.\n\nUne agence qui tient dix ou cinquante serveurs a intérêt à réduire ces écarts. Une même famille de système, une même procédure de contrôle (`sshd -t`, `sshd -T` avant et après, session de secours), et un inventaire qui dit en une commande quel paquet tourne où. Sur ServOrbit.com, l'espace agence rassemble le portefeuille de vos clients — noms de domaine, comptes d'hébergement, VPS — et leurs échéances sur une seule plateforme. La procédure de mise à jour, elle, reste la vôtre : ce guide la décrit telle quelle, pour que vous la dérouliez sur chaque serveur.","Le parc de vos clients au même endroit","Un espace agence pour suivre le portefeuille de vos clients, de l'expiration d'un domaine à l'accès root d'un VPS. Vous gardez la relation client, nous tenons l'infrastructure.","Découvrir l'offre agences","\u002Fsolutions\u002Fagences",[208,225,240],{"id":209,"slug":210,"slugs":211,"title":215,"excerpt":216,"readTime":217,"views":218,"isPinned":19,"publishedAt":219,"updatedAt":220,"category":221,"categories":222,"featuredImage":30,"bgImage":31,"posterImage":224,"relatedSolution":30},317,"linux-hardening-vps-checklist",{"fr":210,"en":212,"ar":213,"es":214},"linux-vps-hardening-checklist-for-agencies","قائمة-تصليب-خادم-لينكس-للوكالات-بعد-التسليم","hardening-linux-vps-checklist-para-agencias-tras-la-entrega","Durcissement Linux VPS : checklist agence après livraison","Checklist de durcissement Linux pour agences : auditd, sudo, SSH par clé, UFW, fail2ban et désactivation root — traçabilité et runbook par client.",11,1,"2026-08-30T00:00:00+00:00","2026-09-07T11:26:10+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[223],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Flinux-hardening-vps-checklist-poster.svg",{"id":226,"slug":227,"slugs":228,"title":232,"excerpt":233,"readTime":23,"views":18,"isPinned":19,"publishedAt":234,"updatedAt":235,"category":236,"categories":237,"featuredImage":30,"bgImage":31,"posterImage":239,"relatedSolution":30},228,"durcissement-serveur-linux-initial",{"fr":227,"en":229,"ar":230,"es":231},"initial-linux-server-hardening","تصليب-الخادم-linux-الأولي","hardening-inicial-servidor-linux","Durcissement initial d'un serveur Linux","Créez un utilisateur sudo, configurez SSH avec clés, activez UFW et fail2ban sur Ubuntu ou Debian en moins d'une heure.","2026-08-06T00:00:00+00:00","2026-10-20T23:18:07+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[238],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Fdurcissement-serveur-linux-initial-poster.svg",{"id":241,"slug":242,"slugs":243,"title":247,"excerpt":248,"readTime":249,"views":250,"isPinned":19,"publishedAt":251,"updatedAt":220,"category":252,"categories":253,"featuredImage":30,"bgImage":31,"posterImage":255,"relatedSolution":256},158,"heberger-bastion-host-vps",{"fr":242,"en":244,"ar":245,"es":246},"bastion-host-on-vps-securing-your-ssh-access","مضيف-bastion-على-خادم-vps-تأمين-وصولك-عبر-ssh","bastion-host-en-vps-accesos-ssh","Bastion Host sur VPS : sécuriser vos accès SSH","Déployez un Bastion Host sur VPS ServOrbit : point d’entrée SSH durci, accès centralisé, logs et règles de sécurité.",3,2,"2026-07-05T00:00:00+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[254],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Fheberger-bastion-host-vps-poster.svg",{"categorySlug":27,"appSlug":257},"bastion-host",1792763132481]