[{"data":1,"prerenderedAt":258},["ShallowReactive",2],{"seo-verification":3,"blog-openssh-10-6-actualizacion-seguridad-sshd-es":6},{"google":4,"bing":5},"EycwPY2XMyTkVzas3n1ygeNJFGAH513qrMjfDljzsMQ","",{"key":7,"data":8},"blog-openssh-10-6-actualizacion-seguridad-sshd-es",{"id":9,"slug":10,"slugs":11,"title":15,"excerpt":16,"readTime":17,"views":18,"isPinned":19,"publishedAt":20,"updatedAt":21,"category":22,"categories":28,"featuredImage":30,"bgImage":31,"posterImage":32,"relatedSolution":30,"intro":33,"sections":34,"ctaTitle":203,"ctaBody":204,"ctaButton":205,"ctaUrl":206,"relatedPosts":207},494,"openssh-10-6-actualizacion-seguridad-sshd",{"fr":12,"en":13,"ar":14,"es":10},"openssh-10-6-mise-a-jour-securite-sshd","openssh-10-6-security-update-sshd","تحديث-openssh-10-6-أمان-sshd","OpenSSH 10.6: actualizar sshd sin perder el acceso","Actualización de seguridad OpenSSH 10.6: comprobar la versión realmente activa, qué puede romperse (ProxyCommand, Compression) y recargar sshd sin riesgo.",12,0,false,"2026-10-22T00:00:00+00:00","2026-10-23T13:27:02+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},8,"Seguridad y monitorización","securite-monitoring","bg-rose-500\u002F10 text-rose-400","security",[29],{"id":23,"name":24,"slug":25,"color":26,"icon":27},null,"\u002Fblog\u002Fcovers\u002Fbg.svg","\u002Fblog\u002Fcovers\u002Fopenssh-10-6-mise-a-jour-securite-sshd-poster.svg","OpenSSH 10.6 trae ocho correcciones de seguridad sin nombrar ninguna con una CVE, y su distribución muestra probablemente un número de versión muy distinto. Para una agencia que administra decenas de servidores de clientes, la pregunta no es «¿hay que pasar a 10.6?», sino «¿llevan mis servidores estas correcciones, y qué puede romper su aplicación?». Esta guía le enseña a leer la versión realmente activa, a detectar los dos cambios que afectan a sus scripts y a recargar `sshd` sin perder el acceso a ningún servidor.",[35,39,51,54,90,112,115,154,157,184,188,191,200],{"type":36,"title":37,"body":38},"h2","Lo que publica OpenSSH 10.6, y lo que no dice","OpenSSH 10.6, y su versión portable 10.6p1 que usan las distribuciones Linux, se publicó el 6 de octubre de 2026. Las notas de versión anuncian «varias correcciones de seguridad», algunas novedades y pequeñas correcciones de errores. No enumeran ningún identificador CVE ni mencionan explotación activa: esta guía se ciñe estrictamente a lo que dicen.\n\nEl equipo de OpenSSH añade una precisión que importa a quien administra un parque. Recibe gran cantidad de informes elaborados con herramientas de IA, ha constatado que varios errores fueron descubiertos de forma independiente por investigadores distintos, y concluye que los atacantes también pueden encontrarlos. Por eso anuncia publicaciones más frecuentes, para entregar las correcciones antes en lugar de agruparlas.\n\nPara una agencia, la consecuencia es concreta: actualizar OpenSSH ya no es un acontecimiento anual. Necesita un procedimiento que se repita sin riesgo, servidor tras servidor, y que le diga cada vez qué ha cambiado realmente.",{"type":40,"title":41,"items":42},"ul","Las correcciones de seguridad de la 10.6, tal como se enumeran",[43,44,45,46,47,48,49,50],"**sftp** — el cliente valida con más rigor las rutas que devuelve el servidor, para que un servidor no pueda hacer que una copia recursiva escriba fuera de su directorio de destino.","**GSSAPI** — `sshd` solo conserva las credenciales GSSAPI tras una autenticación correcta, y reinicia el estado GSSAPI antes de cada intento.","**Compresión** — se desactiva el codificador de diccionario LZ77 para cerrar un canal lateral: un texto inyectado en un canal podía ayudar a adivinar secretos que circulaban por otro canal de la misma sesión.","**Nombres de usuario** — `ssh` rechaza los caracteres `$` y `\\` en un nombre introducido en la línea de comandos, para evitar una inyección en el shell mediante `ProxyCommand` o `Match exec`.","**Certificados** — `ssh-keygen` gestiona correctamente el horario de verano al convertir fechas; el error podía desplazar una hora la caducidad de un certificado.","**Paquetes comprimidos** — un contenido comprimido ya no puede superar, una vez descomprimido, el tamaño máximo de paquete.","**authorized_keys** — la palabra clave `restrict` se aplica ahora también al reenvío de túneles (`PermitTunnel`, desactivado por defecto).","**Valores none** — algunas opciones que aceptan `none`, entre ellas `AuthorizedPrincipalsFile`, se leían como un nombre de archivo cuando un bloque `Match` las redefinía.",{"type":36,"title":52,"body":53},"El número mostrado no dice si está corregido","La objeción llega rápido: ninguna CVE en las notas, ninguna distribución estable entrega la 10.6, y un reinicio fallido de `sshd` puede dejarle fuera. ¿Por qué ocuparse ahora?\n\nPorque las distribuciones no siguen los números del proyecto original. Conservan la versión de OpenSSH con la que salieron y le incorporan las correcciones. Ubuntu lo ha hecho: los paquetes de seguridad publicados el 14 de octubre de 2026 para las versiones 22.04, 24.04 y 26.04 incluyen las ocho correcciones enumeradas arriba, rechazo de `$` y `\\` incluido, sin dejar 8.9p1, 9.6p1 y 10.2p1. En cambio, a 22 de octubre de 2026, el seguimiento de seguridad de Debian sigue marcando esos mismos puntos como no corregidos en Debian 12 y Debian 13, sin aviso de seguridad publicado; solo las ramas de desarrollo forky y sid entregan la 10.6p1.\n\nUn servidor Ubuntu actualizado en 9.6p1 está por tanto mejor cubierto, en estos puntos concretos, que un servidor Debian en 10.0p1. Lo que usted comprueba es el paquete instalado y su registro de cambios. El procedimiento de comprobación y recarga, por su parte, será el mismo para cada actualización futura.",{"type":55,"title":56,"headers":57,"rows":61},"comparison","Lo que entregan las distribuciones a 22 de octubre de 2026",[58,59,60],"Distribución","Paquete OpenSSH","Correcciones de la 10.6",[62,66,69,73,77,80,83,87],[63,64,65],"Debian 12 (bookworm)","1:9.2p1-2+deb12u10","No incorporadas según el seguimiento de Debian",[67,68,65],"Debian 13 (trixie)","1:10.0p1-7+deb13u4",[70,71,72],"Debian forky y sid","1:10.6p1-1","Incluidas (versión original 10.6p1)",[74,75,76],"Ubuntu 22.04 LTS","1:8.9p1-3ubuntu0.18","Incorporadas por la actualización de seguridad",[78,79,76],"Ubuntu 24.04 LTS","1:9.6p1-3ubuntu13.20",[81,82,76],"Ubuntu 26.04 LTS","1:10.2p1-2ubuntu3.8",[84,85,86],"AlmaLinux 8","8.0p1","Consultar los avisos de Red Hat y AlmaLinux",[88,89,86],"AlmaLinux 9 y 10","9.9p1",{"type":91,"title":92,"steps":93},"steps","Inventariar la versión realmente activa",[94,97,100,103,106,109],{"title":95,"body":96},"Leer la versión del cliente","`ssh -V` muestra la versión del cliente OpenSSH y la de su biblioteca criptográfica, en la salida de error. Es el cliente quien aplica el control de nombres de usuario: en un puesto de administración o un bastión, es esta versión la que cuenta.",{"title":98,"body":99},"Leer la versión del servidor","`sudo \u002Fusr\u002Fsbin\u002Fsshd -V` muestra la versión del demonio. La opción existe desde OpenSSH 9.2: en un servidor más antiguo, como AlmaLinux 8 en 8.0p1, no se reconoce, y hay que recurrir al gestor de paquetes.",{"title":101,"body":102},"Leer el paquete instalado","En Debian y Ubuntu: `dpkg -s openssh-server | grep ^Version`. En AlmaLinux y Rocky Linux: `rpm -q openssh-server`. Anote el número completo, sufijo de la distribución incluido: es el que compara con la tabla anterior.",{"title":104,"body":105},"Buscar las correcciones en el registro del paquete","En Debian y Ubuntu: `apt changelog openssh-server | head -60`. En AlmaLinux: `rpm -q --changelog openssh-server | head -60`. En Ubuntu, las entradas `SECURITY UPDATE` mencionan por ejemplo «invalid chars in command-line username» o «incorrect use of LZ77 dictionary coder».",{"title":107,"body":108},"Comprobar que el servicio se ha reiniciado","Un paquete actualizado no protege nada si el demonio antiguo sigue en marcha. Compare `systemctl show -p ActiveEnterTimestamp ssh` (el servicio se llama `sshd` en AlmaLinux) con la fecha de instalación del paquete.",{"title":110,"body":111},"Recorrer el parque con un solo comando","Liste sus servidores en `servidores.txt`, uno por línea, y ejecute: `while read -r h; do printf '%s : ' \"$h\"; ssh -n -o BatchMode=yes \"$h\" 'dpkg -s openssh-server 2>\u002Fdev\u002Fnull | grep ^Version || rpm -q openssh-server'; done \u003C servidores.txt`. El resultado ocupa una línea por servidor, para ordenar por familia de sistema.",{"type":36,"title":113,"body":114},"Lo que puede romperse en un parque administrado","Las notas clasifican tres puntos como cambios potencialmente incompatibles; solo uno afecta realmente a sus scripts.\n\nEl primero es el rechazo de `$` y `\\` en un nombre de usuario introducido en la línea de comandos, tanto con `usuario@host` como con `-l`. `ssh` se detiene entonces con `remote username contains invalid characters`. Casos reales: una cuenta de dominio con la forma `DOMINIO\\usuario`, o un script que construye el comando `ssh` a partir de datos externos. Un nombre escrito literalmente en la directiva `User` de un bloque `Host` no está sujeto al control; el código fuente muestra en cambio que un `User` construido con tokens `%` sí lo está. En un `ProxyJump`, el nombre no válido de un host de salto se rechaza con `invalid username`.\n\nEl segundo es la compresión: `Compression yes` sigue aceptándose, pero comprime peor sin el diccionario LZ77. Nada se rompe; una transferencia por un enlace lento puede simplemente tardar más. El equipo de OpenSSH recomienda comprimir en la capa de aplicación en lugar de dentro de SSH.\n\nEl tercero, la desactivación de `GatewayPorts` y `StreamLocalForwarding`, solo afecta a plataformas antiguas como QNX 6 o SCO OpenServer 5, no a sus servidores Linux. Se suman dos efectos visibles: `scp -R` muestra un aviso de obsolescencia, y `sshd` registra por defecto, con la nueva opción `WarnWeakCrypto`, los clientes que negocian un intercambio de claves no resistente a los ordenadores cuánticos.",{"type":55,"title":116,"headers":117,"rows":121},"Cambio, impacto, acción: la tabla de referencia",[118,119,120],"Cambio de la 10.6","Impacto en un parque","Acción",[122,126,130,134,138,142,146,150],[123,124,125],"`$` y `\\` rechazados en un nombre de la línea de comandos","Scripts y cuentas `DOMINIO\\usuario` que fallan","Escribir el nombre literalmente en `User` de un bloque `Host`",[127,128,129],"Diccionario LZ77 desactivado","`Compression yes` menos eficaz","Comprimir antes de transferir (`tar`, `rsync -z`)",[131,132,133],"Credenciales GSSAPI conservadas solo tras éxito","Ninguno fuera de la autenticación Kerberos","Probar un acceso Kerberos tras la actualización",[135,136,137],"`restrict` aplicado a los túneles","Una clave `restrict` ya no abre túneles","Inventariar las claves de servicio que dependen de `PermitTunnel`",[139,140,141],"Valores `none` bien leídos en `Match`","Un `AuthorizedPrincipalsFile none` por fin desactiva la opción","Revisar los bloques `Match` con `sshd -T -C`",[143,144,145],"`scp -R` obsoleto","Aviso en la salida de error","Quitar `-R`: la copia pasa por la máquina que ejecuta `scp`",[147,148,149],"`WarnWeakCrypto` activo en el servidor","Nuevas líneas en los registros de `sshd`","Localizar los clientes antiguos que actualizar",[151,152,153],"Horario de verano corregido en `ssh-keygen`","Caducidades de certificados antes desplazadas una hora","Revisar los certificados emitidos cerca de un cambio de hora",{"type":36,"title":155,"body":156},"Comprobar la configuración antes de recargar sshd","`sshd -t` comprueba la validez del archivo de configuración y de las claves, sin arrancar nada. La página de manual lo recomienda precisamente para actualizar `sshd` de forma fiable, ya que las opciones de configuración pueden cambiar de una versión a otra. Ninguna salida y un código de retorno 0: el archivo es legible.\n\n`sshd -T` va más allá: muestra la configuración efectiva, valores por defecto incluidos. Es su fotografía de antes y después. Para comprobar un bloque `Match`, simule una conexión con `-C`, por ejemplo `sudo sshd -T -C user=deploy,host=bastion.your-domain.com,addr=203.0.113.10`. Las palabras clave aceptadas son `user`, `host`, `addr`, `laddr`, `lport` y `rdomain`.\n\nEl comando de recarga depende de la familia: el servicio se llama `ssh` en Debian y Ubuntu, `sshd` en AlmaLinux y Rocky Linux. Las sesiones ya abiertas sobreviven a una recarga. En Ubuntu reciente, `ssh.socket` escucha en lugar del demonio: cambiar `Port` exige `systemctl daemon-reload` y después reiniciar `ssh.socket`.",{"type":91,"title":158,"steps":159},"Desplegar la actualización sin perder el acceso",[160,163,166,169,172,175,178,181],{"title":161,"body":162},"Mantener abierta una sesión de rescate","Abra una sesión SSH en el servidor, pase a root con `sudo -i` y no la cierre hasta el final. Si la nueva configuración rechaza las conexiones, es desde ella desde donde corrige.",{"title":164,"body":165},"Fotografiar la configuración efectiva","`sudo sshd -T > \u002Froot\u002Fsshd-T-antes.txt`. Este archivo le dirá qué ha cambiado la actualización, valor por valor.",{"title":167,"body":168},"Actualizar los paquetes","Debian y Ubuntu: `sudo apt update && sudo apt install --only-upgrade openssh-server openssh-client`. AlmaLinux y Rocky Linux: `sudo dnf upgrade 'openssh*'`.",{"title":170,"body":171},"Probar la configuración","`sudo sshd -t && echo OK`. Si se rechaza una línea, corríjala antes que nada: un demonio que no puede leer su configuración tampoco arrancará en el próximo reinicio del servidor.",{"title":173,"body":174},"Recargar el servicio","`sudo systemctl reload ssh` en Debian y Ubuntu, `sudo systemctl reload sshd` en AlmaLinux. El paquete a menudo ya ha reiniciado el servicio: recargar no cuesta nada y garantiza que la configuración leída es la correcta.",{"title":176,"body":177},"Abrir una nueva conexión desde otro terminal","`ssh -v admin@server1.your-domain.com`. Inicie sesión de verdad, con la clave y el usuario habituales. Mientras esta conexión no haya funcionado, la sesión de rescate sigue abierta.",{"title":179,"body":180},"Comparar antes y después","`sudo sshd -T | diff \u002Froot\u002Fsshd-T-antes.txt -`. Una línea inesperada se resuelve ahora, no el día en que llama un cliente.",{"title":182,"body":183},"Extender al parque por oleadas, a través del bastión","Primero un servidor testigo por familia de sistema, después el resto. Si sus accesos pasan por un bastión, actualícelo el último, tras comprobar sus `ProxyJump`: la puesta en marcha se describe en \u003Ca href=\"\u002Fblog\u002Fheberger-bastion-host-vps\">nuestra guía del bastión SSH en VPS\u003C\u002Fa>.",{"type":185,"title":186,"body":187},"tip","Hardening: un procedimiento, no otra checklist","Esta guía no repite el hardening de `sshd_config`: `PasswordAuthentication no`, `PermitRootLogin`, `AllowUsers` o `AllowGroups` y `MaxAuthTries` se detallan en \u003Ca href=\"\u002Fblog\u002Flinux-hardening-vps-checklist\">la checklist de hardening para agencias\u003C\u002Fa> y en \u003Ca href=\"\u002Fblog\u002Fdurcissement-serveur-linux-initial\">el hardening inicial de un servidor Linux\u003C\u002Fa>. Un punto sí cambia con un `sshd` original en 10.6: la nueva opción `PubkeyOptions max-pk-ok` permite a un cliente probar hasta seis claves públicas por defecto sin que esos intentos cuenten en `MaxAuthTries`. Un `MaxAuthTries` bajo deja así de rechazar al administrador que guarda muchas claves en su agente.",{"type":36,"title":189,"body":190},"Solución de problemas: los mensajes que puede encontrar","Los mensajes siguientes proceden del código fuente de OpenSSH 10.6p1. Aparecen en el terminal para el cliente, y en el registro del servicio para el servidor (`journalctl -u ssh` o `journalctl -u sshd`). Lea siempre el mensaje completo antes de actuar: la mayoría señala la línea culpable.",{"type":40,"title":192,"items":193},"Mensajes de error y soluciones",[194,195,196,197,198,199],"**`remote username contains invalid characters`** — el nombre pasado en la línea de comandos contiene `$`, `\\` u otro carácter rechazado; escriba la cuenta literalmente en `User` de un bloque `Host`.","**`Bad configuration option: AgentSocketPath`** — una opción aparecida en la 10.6 se ha copiado en un servidor que no la conoce; el mensaje cita el archivo y la línea, y `sshd` se detiene con `terminating, 1 bad configuration options`.","**`Missing privilege separation directory: \u002Frun\u002Fsshd`** — `sshd -t` lanzado con el servicio detenido, en Debian o Ubuntu; cree el directorio con `sudo mkdir -p \u002Frun\u002Fsshd` y repita la prueba.","**`warning: remote\u002Fremote -R copy mode is deprecated and will soon be removed`** — retire `-R` de sus scripts `scp` antes de que una próxima versión lo ignore.","**`invalid username`** — un host de salto de `ProxyJump` lleva un nombre rechazado; traslade el nombre a un bloque `Host` dedicado al bastión.","**Puerto modificado ignorado en Ubuntu** — `ssh.socket` sigue escuchando en el puerto anterior; ejecute `sudo systemctl daemon-reload` y después `sudo systemctl restart ssh.socket`.",{"type":36,"title":201,"body":202},"Un parque homogéneo se actualiza con un solo procedimiento","Lo que hace arriesgada una actualización de OpenSSH no es la versión: es un parque en el que cada servidor tiene su propia historia. Tres distribuciones, cuatro maneras de nombrar el servicio, scripts que pasan nombres de usuario en la línea de comandos: cada diferencia se convierte en una excepción que tratar a mano, a menudo una tarde en la que un cliente espera.\n\nUna agencia que mantiene diez o cincuenta servidores tiene interés en reducir esas diferencias. Una misma familia de sistema, un mismo procedimiento de comprobación (`sshd -t`, `sshd -T` antes y después, sesión de rescate) y un inventario que diga con un solo comando qué paquete funciona dónde. En ServOrbit.com, el espacio para agencias reúne la cartera de sus clientes — nombres de dominio, cuentas de alojamiento, VPS — y sus vencimientos en una sola plataforma. El procedimiento de actualización, en cambio, sigue siendo suyo: esta guía lo describe tal cual, para que lo aplique en cada servidor.","El parque de sus clientes en un mismo lugar","Un espacio para agencias desde el que seguir la cartera de sus clientes, del vencimiento de un dominio al acceso root de un VPS. Usted conserva la relación con el cliente, nosotros mantenemos la infraestructura.","Descubrir la oferta para agencias","\u002Fsolutions\u002Fagences",[208,225,240],{"id":209,"slug":210,"slugs":211,"title":215,"excerpt":216,"readTime":217,"views":218,"isPinned":19,"publishedAt":219,"updatedAt":220,"category":221,"categories":222,"featuredImage":30,"bgImage":31,"posterImage":224,"relatedSolution":30},317,"hardening-linux-vps-checklist-para-agencias-tras-la-entrega",{"fr":212,"en":213,"ar":214,"es":210},"linux-hardening-vps-checklist","linux-vps-hardening-checklist-for-agencies","قائمة-تصليب-خادم-لينكس-للوكالات-بعد-التسليم","Hardening Linux VPS : checklist para agencias tras la entrega","Checklist de hardening Linux reproducible para agencias: auditd, sudo, clave SSH, UFW, fail2ban y desactivación de root — con trazabilidad por cliente.",11,1,"2026-08-30T00:00:00+00:00","2026-09-07T11:26:10+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[223],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Flinux-hardening-vps-checklist-poster.svg",{"id":226,"slug":227,"slugs":228,"title":232,"excerpt":233,"readTime":23,"views":18,"isPinned":19,"publishedAt":234,"updatedAt":235,"category":236,"categories":237,"featuredImage":30,"bgImage":31,"posterImage":239,"relatedSolution":30},228,"hardening-inicial-servidor-linux",{"fr":229,"en":230,"ar":231,"es":227},"durcissement-serveur-linux-initial","initial-linux-server-hardening","تصليب-الخادم-linux-الأولي","Endurecimiento (hardening) inicial de un servidor Linux","Cree un usuario sudo, configure SSH con claves y active UFW y fail2ban en Ubuntu o Debian en menos de una hora.","2026-08-06T00:00:00+00:00","2026-10-20T23:18:07+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[238],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Fdurcissement-serveur-linux-initial-poster.svg",{"id":241,"slug":242,"slugs":243,"title":247,"excerpt":248,"readTime":249,"views":250,"isPinned":19,"publishedAt":251,"updatedAt":220,"category":252,"categories":253,"featuredImage":30,"bgImage":31,"posterImage":255,"relatedSolution":256},158,"bastion-host-en-vps-accesos-ssh",{"fr":244,"en":245,"ar":246,"es":242},"heberger-bastion-host-vps","bastion-host-on-vps-securing-your-ssh-access","مضيف-bastion-على-خادم-vps-تأمين-وصولك-عبر-ssh","Bastion Host en VPS: proteger sus accesos SSH","Despliegue un Bastion Host en un VPS ServOrbit: punto de entrada SSH endurecido, acceso centralizado, registros y reglas de seguridad.",3,2,"2026-07-05T00:00:00+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[254],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Fheberger-bastion-host-vps-poster.svg",{"categorySlug":27,"appSlug":257},"bastion-host",1792763318056]