Celah Baru OpenSSH CVE-2026-123158 (SSHole) — Password Panjang Bisa Menembus Akun Linux Tanpa Password

Pada Kamis, 5 November 2026, komunitas keamanan infrastruktur cloud dikejutkan oleh pengumuman rilis darurat OpenSSH versi 10.6p2. Selama lebih dari satu dekade, administrator sistem percaya bahwa menonaktifkan password pada akun Linux adalah cara paling aman untuk mencegah pembobolan brute-force. Cukup kunci akun dengan tanda bintang di berkas shadow, lalu paksa autentikasi hanya menggunakan SSH Key.

Namun, seorang peneliti keamanan bernama Ozgun Kultekin dari firma Wakefield menemukan celah mengejutkan yang diberi nama SSHole dan tercatat di basis data kerentanan global sebagai CVE-2026-123158. Celah ini memiliki skor keparahan CVSS 8.1.

Yang membuat para insinyur keamanan geleng-geleng kepala adalah metode eksploitasinya yang sangat tidak masuk akal untuk standar tahun 2026. Penyerang tidak butuh script zero-day yang rumit atau eksploit memori tingkat tinggi. Mereka hanya perlu mengirimkan password yang sangat panjang — antara 257 hingga 1024 karakter.

Seketika itu juga, server Linux yang terdampak akan membuka pintu terminal dan memberikan akses login penuh tanpa pernah memeriksa apakah password tersebut benar atau salah.

Mengapa Password Panjang Bisa Membobol Server?

Untuk memahami bagaimana bug konyol ini bisa bertahan selama sepuluh tahun tanpa terdeteksi, kita harus melihat bagaimana OpenSSH berinteraksi dengan pustaka C sistem operasi.

Di sistem operasi Linux standar seperti Ubuntu, Debian, CentOS, atau Rocky Linux, sistem menggunakan pustaka C standar bernama glibc yang dipadukan dengan modul autentikasi PAM (Pluggable Authentication Modules). Pada sistem seperti ini, penanganan string password dilakukan dengan pemeriksaan berlapis yang ketat.

Namun di dunia cloud modern dan microservices, ukuran container adalah segalanya. Pengembang ingin container sekecil mungkin agar hemat memori dan cepat di-deploy. Karena itu, distribusi Linux minimalis seperti Alpine Linux menjadi raja di lingkungan Docker dan Kubernetes.

Alpine Linux tidak menggunakan glibc, melainkan pustaka C alternatif yang sangat ringan bernama musl libc. Selain itu, demi efisiensi biner, OpenSSH di Alpine sering kali dikompilasi tanpa dukungan PAM.

Di sinilah letak bencana komputasi tersebut terjadi.

Ketika akun pengguna dikonfigurasi untuk hanya menerima SSH Key, administrator biasanya menonaktifkan password akun tersebut. Di dalam berkas /etc/shadow, kolom password pengguna akan diisi tanda bintang (*) atau tanda seru (!). Secara konseptual, tanda bintang ini memberi tahu sistem bahwa tidak ada password valid yang bisa cocok dengan akun ini.

Namun di dalam implementasi fungsi verifikasi crypt() pada pustaka musl libc, pembacaan string hash password memiliki kelemahan interpretasi saat menerima input string yang sangat panjang. Ketika OpenSSH versi sebelum 10.6p2 menerima input password dengan panjang antara 257 sampai 1024 karakter, fungsi pencocokan hash mengalami overflow batas buffer internal string hash pembanding.

Akibatnya, fungsi pembanding keliru menyimpulkan bahwa string panjang yang dikirim oleh penyerang cocok dengan penanda akun nonaktif. Server OpenSSH mengira autentikasi telah berhasil, lalu membuka sesi shell interaktif bagi penyerang.

Siapa Saja yang Terkena Dampak?

Kabar baiknya, celah CVE-2026-123158 ini memiliki beberapa prasyarat teknis yang harus terpenuhi sebelum eksploitasi berhasil. Jake Knott, kepala intelijen ancaman di Watchtowr, menjelaskan bahwa serangan ini hanya bekerja jika empat kondisi berikut terpenuhi sekaligus:

• Server target menjalankan OpenSSH asli (bukan Dropbear yang biasa dipakai pada router embedded OpenWrt).
• Daemon OpenSSH dikompilasi tanpa modul PAM (kondisi default pada paket Alpine Linux standar).
• Pustaka sistem yang digunakan adalah musl libc, bukan GNU C Library (glibc).
• Server target mengizinkan autentikasi berbasis password (PasswordAuthentication yes), dan penyerang mengetahui nama akun yang passwordnya dinonaktifkan di sistem.

Berikut adalah tabel perbandingan risiko dan status kerentanan pada berbagai sistem operasi populer:

Meskipun server VPS standar berbasis Ubuntu atau Debian aman dari celah ini, bahaya terbesar justru mengintai ribuan image Docker dan container cloud yang menjalankan Alpine Linux dengan port SSH terbuka untuk keperluan remote debug atau administrasi internal.

Mengapa Pengembang Suka Alpine Linux tetapi Sering Lupa Keamanannya?

Bagi pengembang web dan DevOps di Indonesia, Alpine Linux adalah pilihan favorit saat membangun image Docker aplikasi Node.js, Python, Golang, maupun PHP. Image dasar Alpine hanya berukuran sekitar 5 megabyte, berbanding terbalik dengan image Ubuntu yang bisa mencapai lebih dari 70 megabyte.

Namun, banyak pengembang yang melakukan deploy image custom dengan menambahkan OpenSSH server agar mereka bisa masuk ke dalam container secara langsung. Sering kali, pengembang membuat akun pengguna biasa seperti developer atau deployer, lalu mengunci passwordnya dan berasumsi bahwa akun tersebut hanya bisa diakses menggunakan SSH Key pribadi mereka.

Jika container tersebut terekspos ke internet publik — misalnya melalui port forwarding atau floating IP di cloud provider lokal — maka penyerang manapun di dunia dapat mengirimkan ribuan karakter acak ke port SSH container tersebut dan langsung mendapatkan akses root atau shell pengguna.

Begitu penyerang berada di dalam container, mereka bisa membaca environment variables, mencuri token database, mengambil API key pihak ketiga, atau bahkan melancarkan serangan container breakout untuk menguasai server host fisik.

Langkah Cepat Memeriksa dan Mengamankan Server Anda

Jika Anda mengelola server VPS, instance cloud, atau armada container Docker, lakukan audit dan langkah mitigasi berikut hari ini juga:

1. Periksa Distribusi dan Versi OpenSSH

Jalankan perintah berikut di terminal server Anda untuk memeriksa versi OpenSSH dan pustaka C yang digunakan:

ssh -V
ldd --version 2>&1 | head -n 1

Jika keluaran menunjukkan sistem menggunakan musl libc dan OpenSSH versi di bawah 10.6p2, Anda wajib segera mengambil tindakan perbaikan.

2. Matikan Autentikasi Password Sepenuhnya

Solusi paling efektif dan fundamental adalah memastikan bahwa autentikasi password benar-benar dimatikan di tingkat konfigurasi OpenSSH. Jika daemon SSH menolak metode autentikasi password sejak awal, fungsi verifikasi hash tidak akan pernah dipanggil.

Buka berkas konfigurasi SSH:

sudo nano /etc/ssh/sshd_config

Pastikan direktif berikut aktif dan diatur ke no:

PasswordAuthentication no
ChallengeResponseAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes

Setelah mengubah konfigurasi, uji konfigurasi dengan perintah sshd -t, lalu muat ulang layanan SSH:

sudo systemctl reload ssh || sudo /etc/init.d/sshd restart

3. Update Paket OpenSSH ke Versi 10.6p2

Di sistem Alpine Linux atau container berbasis Alpine, perbarui indeks paket dan pasang versi terbaru:

apk update
apk upgrade openssh

Pastikan versi yang terpasang adalah OpenSSH 10.6p2 atau versi patch terbaru yang disediakan oleh tim pengelola distribusi.

Pelajaran Berharga untuk Keamanan Infrastruktur Digital

Insiden CVE-2026-123158 membuktikan sekali lagi bahwa asumsi keamanan lama sering kali runtuh di persimpangan arsitektur modern. Pengembang OpenSSH awalnya sempat menyatakan bahwa bug ini bukan berasal dari kode inti mereka, melainkan akibat perilaku spesifik pustaka musl libc yang tidak menangani string panjang dengan semestinya. Namun pada akhirnya, tim OpenSSH tetap merilis patch mitigasi pertahanan berlapis di versi 10.6p2 untuk melindungi ekosistem cloud.

Bagi pemilik bisnis digital, pengelola startup, dan tim IT di Indonesia, peristiwa ini membawa tiga pelajaran penting:

Pertama, jangan pernah mengekspos port SSH container ke internet publik. Untuk mengakses container Docker di server produksi, gunakan mekanisme docker exec melalui sesi SSH host yang aman atau gunakan VPN internal / Cloudflare Tunnels.

Kedua, kombinasikan pertahanan sistem. Mengunci password akun di /etc/shadow tidak boleh menjadi satu-satunya benteng pertahanan Anda. Konfigurasi PasswordAuthentication no di sshd_config dan pembatasan firewall melalui UFW atau security group cloud wajib diterapkan secara bersamaan.

Ketiga, pantau log autentikasi secara berkala. Jika Anda melihat percobaan login dengan payload karakter yang luar biasa panjang atau catatan login berhasil pada akun yang seharusnya terkunci, server Anda mungkin telah menjadi sasaran uji coba eksploitasi ini.

Keamanan server bukan tentang memasang satu konfigurasi lalu melupakannya selamanya. Dunia siber bergerak sangat cepat, dan bahkan piranti lunak setua dan seandal OpenSSH tetap membutuhkan kewaspadaan serta audit berkala dari kita semua.