[{"data":1,"prerenderedAt":226},["ShallowReactive",2],{"seo-verification":3,"blog-openssh-10-6p2-alpine-contournement-mot-de-passe-verifier-fr":6},{"google":4,"bing":5},"EycwPY2XMyTkVzas3n1ygeNJFGAH513qrMjfDljzsMQ","",{"key":7,"data":8},"blog-openssh-10-6p2-alpine-contournement-mot-de-passe-verifier-fr",{"id":9,"slug":10,"slugs":11,"title":15,"excerpt":16,"readTime":17,"views":18,"isPinned":19,"noindex":20,"publishedAt":21,"updatedAt":22,"category":23,"categories":29,"featuredImage":31,"bgImage":32,"posterImage":33,"relatedSolution":31,"intro":34,"sections":35,"ctaTitle":166,"ctaBody":167,"ctaButton":168,"ctaUrl":169,"relatedPosts":170},570,"openssh-10-6p2-alpine-contournement-mot-de-passe-verifier",{"fr":10,"en":12,"ar":13,"es":14},"openssh-10-6p2-alpine-password-bypass-check-fix","ثغرة-openssh-10-6p2-تجاوز-كلمة-المرور-alpine-فحص","openssh-10-6p2-alpine-omision-contrasena-verificar","OpenSSH 10.6p2 : contournement du mot de passe sous Alpine","OpenSSH 10.6p2 corrige un contournement de l'authentification par mot de passe sous Alpine et musl : vérifiez votre exposition, mettez à jour et cherchez des traces.",9,0,false,true,"2026-11-06T00:00:00+00:00","2026-11-08T01:13:02+00:00",{"id":24,"name":25,"slug":26,"color":27,"icon":28},8,"Sécurité & Monitoring","securite-monitoring","bg-rose-500\u002F10 text-rose-400","security",[30],{"id":24,"name":25,"slug":26,"color":27,"icon":28},null,"\u002Fblog\u002Fcovers\u002Fbg.svg","\u002Fblog\u002Fcovers\u002Fopenssh-10-6p2-alpine-contournement-mot-de-passe-verifier-poster.svg","Le 5 novembre 2026, OpenSSH 10.6p2 a corrigé un contournement de l'authentification par mot de passe qui touche les systèmes Linux sous musl dont `sshd` est compilé sans PAM, à commencer par Alpine. Un mot de passe de 257 à 1024 octets suffit pour entrer sur un compte qui n'en a pas, si un autre compte de la machine en a un. Les systèmes Debian, Ubuntu et AlmaLinux ne sont pas concernés. Voici les cinq conditions, la procédure de vérification, les paquets corrigés par branche d'Alpine et les traces à chercher dans les journaux, y compris dans vos conteneurs et vos images.",[36,40,49,52,85,88,116,147,150,153,156,163],{"type":37,"title":38,"body":39},"h2","Ce que disent OpenSSH et Alpine, et ce qu'ils ne disent pas","OpenSSH 10.6p2 a été publiée le 5 novembre 2026. Ses notes de version annoncent la correction d'un contournement de l'authentification par mot de passe, exploitable par `sshd`, sur certains systèmes Linux compilés sans PAM. Le même jour, Alpine Linux a publié un avis qui détaille le mécanisme, les conditions et les paquets corrigés. La faille a été signalée par Özgün Kültekin, de Wakefield.\n\nDeux précisions utiles avant d'agir. D'abord, aucun identifiant CVE n'avait été attribué à la date de l'avis d'Alpine ; certains articles de presse en citent un, nous ne le reprenons pas faute de source primaire. Ensuite, les mainteneurs d'OpenSSH considèrent que la cause racine se trouve hors de `sshd` et ont contourné le problème dans `sshd` : le correctif est donc dans le paquet OpenSSH, pas dans la bibliothèque C. Au moment où nous écrivons, aucun rapport public d'exploitation n'est connu de nous, mais le détail technique est public : partez du principe que des scans suivront.",{"type":41,"title":42,"items":43},"ul","Les cinq conditions, toutes nécessaires",[44,45,46,47,48],"**Une bibliothèque C musl** — c'est le cas d'Alpine, et d'autres systèmes embarqués qui utilisent musl, comme OpenWrt. Debian, Ubuntu, Fedora et AlmaLinux utilisent glibc et ne sont pas concernés.","**`sshd` sans PAM** — le paquet `openssh-server` d'Alpine est compilé sans PAM ; `openssh-server-pam` avec `UsePAM no` l'est aussi. Avec `UsePAM yes`, vous n'êtes pas concerné.","**`PasswordAuthentication yes`** — c'est la valeur par défaut d'OpenSSH. Si vous l'avez passée à `no`, la faille n'est pas atteignable.","**Un compte dont le champ mot de passe vaut `*`** — un utilisateur créé sans mot de passe pour une connexion par clé, un utilisateur d'annuaire géré par musl-nscd, ou l'utilisateur `alpine` des images cloud officielles.","**Au moins un autre compte avec un vrai mot de passe** (un hachage `$5$` ou `$6$`) — un seul suffit à exposer tous les comptes sans mot de passe.",{"type":37,"title":50,"body":51},"Pourquoi un mot de passe de 257 octets suffit","Sans PAM, `sshd` hache le mot de passe saisi avec `crypt()` et compare le résultat au champ stocké dans `\u002Fetc\u002Fshadow`. Pour les comptes dont le champ est trop court pour contenir un sel, `sshd` emprunte celui d'un autre compte, afin de ne pas révéler par le temps de réponse qu'un nom d'utilisateur n'a pas de mot de passe.\n\nSur musl, `crypt()` renvoie la chaîne `*` comme valeur d'erreur quand la clé dépasse 256 octets. Or `*` est aussi, dans `\u002Fetc\u002Fshadow`, la valeur d'un compte sans mot de passe. La comparaison réussit : la connexion passe, sans que personne ait deviné quoi que ce soit. L'avis d'Alpine donne la fenêtre exploitable : un mot de passe de 257 à 1024 octets. Ce n'est ni un défaut cryptographique ni une corruption de mémoire, c'est une erreur de logique : une valeur d'erreur prise pour un résultat.",{"type":53,"title":54,"headers":55,"rows":59},"comparison","Qui est concerné, qui ne l'est pas",[56,57,58],"Configuration","Concerné ?","Pourquoi",[60,64,68,71,74,77,81],[61,62,63],"Alpine, `openssh-server`, mots de passe activés, un compte à `*` et un compte à `$6$`","Oui","Les cinq conditions sont réunies",[65,66,67],"Alpine, `openssh-server-pam` avec `UsePAM yes`","Non","L'authentification passe par PAM, pas par `crypt()` dans `sshd`",[69,66,70],"Alpine avec `PasswordAuthentication no`","Aucune authentification par mot de passe n'est tentée",[72,66,73],"Debian, Ubuntu, AlmaLinux, Rocky (glibc)","La comparaison ne reçoit pas la valeur d'erreur `*`",[75,66,76],"Conteneur Alpine sans `sshd`","Aucun service SSH à attaquer",[78,79,80],"Compte verrouillé avec `!` au lieu de `*`","Non pour ce compte","`!` ne correspond pas à la valeur d'erreur",[82,83,84],"Image cloud Alpine officielle, aucun mot de passe défini","Pas au premier démarrage","L'avis la dit exploitable dès qu'un hachage `$6$` apparaît, par exemple un mot de passe défini à la console",{"type":37,"title":86,"body":87},"« Je suis sur Debian ou Ubuntu : est-ce que ça me touche ? »","Non, pas pour cette faille : elle exige musl. L'objection mérite pourtant d'être posée, parce que la question utile pour un parc est ailleurs : où trouve-t-on de l'Alpine sans l'avoir choisi ? Une image de conteneur qui embarque un `sshd` pour le dépannage, une appliance réseau, un routeur sous OpenWrt, une image construite avec Buildroot ou Yocto : tous peuvent reposer sur musl, selon la manière dont ils ont été construits. Sur un VPS à système Debian ou Ubuntu, l'exposition vient d'un conteneur Alpine à `sshd` que vous y exécutez, pas du système hôte.\n\nUn inventaire tient en deux commandes par machine : `ls \u002Flib\u002Fld-musl*` indique si le système utilise musl, et `ps aux | grep sshd` indique si un service SSH tourne. Faites-le aussi dans vos conteneurs, car une image reconstruite l'an dernier peut encore embarquer l'ancien paquet.",{"type":89,"title":90,"steps":91},"steps","Vérifier votre exposition, puis corriger",[92,95,98,101,104,107,110,113],{"title":93,"body":94},"Confirmer que le système est sous musl","Lancez `ls \u002Flib\u002Fld-musl*` ou `ldd --version 2>&1 | head -1`. Sur Alpine, la réponse mentionne musl. Sur glibc, rien à faire pour cette faille.",{"title":96,"body":97},"Relever la version d'OpenSSH et la variante PAM","`apk info -vv | grep '^openssh'` liste les paquets installés. Notez si `openssh-server-pam` est présent, puis vérifiez `UsePAM` dans `\u002Fetc\u002Fssh\u002Fsshd_config`.",{"title":99,"body":100},"Lire la configuration réellement appliquée","`sshd -T | grep -i -E 'passwordauthentication|usepam|permitrootlogin'` affiche les valeurs effectives, celles des blocs `Match` et des fichiers inclus comprises. Une ligne lue dans le fichier ne remplace pas ce contrôle.",{"title":102,"body":103},"Lister les comptes à `*` et les comptes à vrai mot de passe","`awk -F: '$2==\"*\" {print $1}' \u002Fetc\u002Fshadow` donne les comptes sans mot de passe ; `awk -F: '$2 ~ \u002F^\\$[56]\\$\u002F {print $1}' \u002Fetc\u002Fshadow` donne ceux qui ont un hachage. Si les deux listes ne sont pas vides, les conditions 4 et 5 sont remplies.",{"title":105,"body":106},"Mettre à jour le paquet","`apk upgrade -U -a` installe la version corrigée. Alpine a publié des paquets corrigés pour toutes ses branches, jusqu'à la 3.16, y compris celles qui ne sont plus supportées.",{"title":108,"body":109},"Redémarrer le service, sans quoi rien n'est corrigé","`rc-service sshd restart`. La mise à jour du paquet ne remplace pas le démon qui tourne : tant qu'il n'est pas redémarré, l'ancien code répond. Gardez une session ouverte pendant le redémarrage et testez une seconde connexion avant de la fermer.",{"title":111,"body":112},"Contrôler le résultat","Relisez `apk info -vv | grep '^openssh'`, puis `sshd -T | grep -i passwordauthentication`. Ensuite, ouvrez une connexion par clé depuis un autre poste pour vérifier que l'accès fonctionne.",{"title":114,"body":115},"Reconstruire les images","Une image de conteneur ou une image de VM ne se corrige pas en place : reconstruisez-la depuis une base corrigée, puis redéployez-la. Notez la date du correctif dans le dossier de l'environnement.",{"type":53,"title":117,"headers":118,"rows":122},"Les paquets corrigés par branche d'Alpine",[119,120,121],"Branche","Paquet openssh corrigé","Version de la branche",[123,127,131,135,139,143],[124,125,126],"edge","10.6_p2-r0","—",[128,129,130],"3.24","10.3_p1-r2","3.24.4",[132,133,134],"3.23","10.2_p1-r1","3.23.8",[136,137,138],"3.22","10.0_p1-r11","3.22.8",[140,141,142],"3.21","9.9_p2-r1","3.21.10",[144,145,146],"3.20 et plus anciennes (jusqu'à 3.16)","9.7_p1-r6 (3.20) ; 9.0_p1-r6 (3.16)","Branches hors support",{"type":37,"title":148,"body":149},"Chercher des traces avant de conclure que tout va bien","Un correctif supprime la faille ; il n'efface pas ce qu'un attaquant a fait avant. L'avis d'Alpine recommande de chercher, dans `\u002Fvar\u002Flog\u002Fmessages`, les lignes `Accepted password for` qui concernent des comptes censés ne pas avoir de mot de passe : `alpine`, `root` ou un utilisateur réservé aux connexions par clé. Une telle ligne est un indice fort, puisque ces comptes ne devraient jamais se connecter par mot de passe.\n\nPour les comptes qui apparaissent, vérifiez ensuite l'usage de `doas`, les utilisateurs créés récemment, les fichiers modifiés et le contenu de chaque `authorized_keys`. L'avis ne laisse aucun doute sur la conduite à tenir : si vous ne pouvez pas écarter une connexion, traitez la machine comme compromise, reconstruisez-la et renouvelez les secrets qu'elle contenait. Sur les images cloud officielles, le risque est plus élevé : l'utilisateur `alpine` y dispose de `doas` sans mot de passe, ce qui permet de passer root une fois entré.",{"type":151,"body":152},"tip","Vous ne pouvez pas mettre à jour tout de suite ? Désactivez l'authentification par mot de passe, après avoir vérifié qu'une connexion par clé fonctionne et en gardant la session actuelle ouverte. Alpine propose un fichier dans `\u002Fetc\u002Fssh\u002Fsshd_config.d\u002F` contenant `PasswordAuthentication no` (le répertoire est lu par défaut depuis la 3.19), à condition qu'aucune ligne `PasswordAuthentication yes` ne subsiste dans un bloc `Match`. Terminez par `sshd -t`, un redémarrage, puis `sshd -T | grep -i passwordauthentication`, qui doit afficher `passwordauthentication no`. Pour annuler, supprimez ce fichier.",{"type":37,"title":154,"body":155},"Dépannage : ce que vous risquez de voir en appliquant le correctif","Les messages ci-dessous sont ceux d'OpenSSH ; ils apparaissent côté client dans le terminal, côté serveur dans le journal du service.",{"type":41,"title":157,"items":158},"Messages et remèdes",[159,160,161,162],"**`Permission denied (publickey).`** — après avoir coupé les mots de passe, votre clé n'est pas acceptée. Gardez la session ouverte, vérifiez `~\u002F.ssh\u002Fauthorized_keys` du compte (droits `600`, dossier `700`), puis relisez `sshd -T | grep -i pubkeyauthentication`. Ne fermez pas la session d'origine avant d'avoir une seconde connexion qui fonctionne.","**`Bad configuration option`** suivi d'un nom, avec un numéro de ligne de `\u002Fetc\u002Fssh\u002Fsshd_config` — une faute de frappe dans le fichier ou dans le fichier inclus. `sshd -t` la signale avant le redémarrage : ne redémarrez jamais sans ce contrôle.","**`sshd: no hostkeys available -- exiting.`** — les clés d'hôte sont absentes, par exemple dans une image où elles n'ont pas été générées. Générez-les avec `ssh-keygen -A`, puis relancez le service.","**Le démon répond toujours avec l'ancienne version** — vous avez mis à jour le paquet sans redémarrer. `rc-service sshd restart`, puis relisez la version annoncée à la connexion.",{"type":37,"title":164,"body":165},"Ce que cette faille dit de votre parc","Elle ne vient pas d'une mauvaise pratique spectaculaire : un compte sans mot de passe, un autre avec un mot de passe, une valeur par défaut. Chacun de ces choix est courant, et c'est leur combinaison sur un système peu fréquent qui crée l'exposition. La réponse durable est la même qu'avant la faille : sur tout serveur joignable depuis Internet, authentifiez-vous par clé, désactivez les mots de passe, et sachez quelles images et quels conteneurs embarquent un `sshd`.\n\nSi vous avez déjà durci vos accès, cette alerte se règle en dix minutes par machine. Sinon, elle est l'occasion de le faire : la procédure complète est décrite dans notre guide de premier accès SSH, et la mise à jour d'OpenSSH 10.6 sans se couper l'accès l'est dans l'article consacré à cette version. Un VPS ServOrbit vous donne un accès root et le choix du système, ce qui vous laisse la maîtrise de ces paramètres.","Un serveur dont vous maîtrisez les accès","Sur un VPS ServOrbit, vous avez l'accès root, le choix du système et la main sur la configuration SSH : clés, mots de passe désactivés, mises à jour à votre rythme.","Découvrir les VPS","\u002Fvps-cloud",[171,188,207],{"id":172,"slug":173,"slugs":174,"title":178,"excerpt":179,"readTime":180,"views":181,"isPinned":19,"noindex":19,"publishedAt":182,"updatedAt":183,"category":184,"categories":185,"featuredImage":31,"bgImage":32,"posterImage":187,"relatedSolution":31},494,"openssh-10-6-mise-a-jour-securite-sshd",{"fr":173,"en":175,"ar":176,"es":177},"openssh-10-6-security-update-sshd","تحديث-openssh-10-6-أمان-sshd","openssh-10-6-actualizacion-seguridad-sshd","OpenSSH 10.6 : mettre à jour sshd sans couper l'accès","Mise à jour de sécurité OpenSSH 10.6 : vérifier la version réellement active, ce qui peut casser (ProxyCommand, Compression) et recharger sshd sans risque.",12,2,"2026-10-22T00:00:00+00:00","2026-10-23T13:27:02+00:00",{"id":24,"name":25,"slug":26,"color":27,"icon":28},[186],{"id":24,"name":25,"slug":26,"color":27,"icon":28},"\u002Fblog\u002Fcovers\u002Fopenssh-10-6-mise-a-jour-securite-sshd-poster.svg",{"id":189,"slug":190,"slugs":191,"title":195,"excerpt":196,"readTime":181,"views":197,"isPinned":19,"noindex":20,"publishedAt":198,"updatedAt":199,"category":200,"categories":204,"featuredImage":31,"bgImage":32,"posterImage":206,"relatedSolution":31},452,"premier-acces-ssh-vps",{"fr":190,"en":192,"ar":193,"es":194},"first-ssh-login-vps","أول-اتصال-ssh-بخادم-vps","primer-acceso-ssh-vps","Se connecter en SSH à son VPS pour la première fois","Récupérez le mot de passe root de votre VPS grâce au lien à usage unique reçu par e-mail, puis connectez-vous en SSH pour la première fois.",1,"2026-10-16T00:00:00+00:00","2026-10-16T01:57:35+00:00",{"id":180,"name":201,"slug":202,"color":203,"icon":202},"Guides","guides","bg-emerald-500\u002F10 text-emerald-400",[205],{"id":180,"name":201,"slug":202,"color":203,"icon":202},"\u002Fblog\u002Fcovers\u002Fpremier-acces-ssh-vps-poster.svg",{"id":208,"slug":209,"slugs":210,"title":214,"excerpt":215,"readTime":216,"views":197,"isPinned":19,"noindex":19,"publishedAt":217,"updatedAt":218,"category":219,"categories":220,"featuredImage":31,"bgImage":32,"posterImage":222,"relatedSolution":223},109,"proteger-vps-fail2ban",{"fr":209,"en":211,"ar":212,"es":213},"fail2ban-enhanced-on-vps-blocking-repeated-attacks","fail2ban-enhanced-على-خادم-vps-حجب-الهجمات-المتكررة","fail2ban-en-vps-bloquear-ataques-repetidos","Fail2Ban Enhanced sur VPS : bloquer les attaques répétées","Reliez Fail2Ban Enhanced au catalogue ServOrbit : bannissement SSH\u002FNginx, logs lisibles et documentation officielle.",11,"2026-03-03T00:00:00+00:00","2026-11-01T14:14:36+00:00",{"id":24,"name":25,"slug":26,"color":27,"icon":28},[221],{"id":24,"name":25,"slug":26,"color":27,"icon":28},"\u002Fblog\u002Fcovers\u002Fproteger-vps-fail2ban-poster.svg",{"categorySlug":224,"appSlug":225},"securite","fail2ban-enhanced",1794100971747]