OpenSSH認証回避への対応：更新・再起動と侵害調査を別の完了条件にする

結論（経営判断の要点）

編集上の提案・分析：対象資産と外部から到達できるSSH経路を特定し、接続制限、修正、調査を担当する者を決めてください。停止・再起動に伴う業務影響と、未修正のまま管理経路を維持するリスクを比較し、例外の期限を記録します。

確認済み事実：JPCERT/CCは2026年11月9日、OpenSSHの認証回避の脆弱性CVE-2026-123158について公表しました。OpenSSHは11月5日付で、musl libcを使いPAMを無効にした一部Linux環境に影響する認証回避を避ける10.6p2を公開しています。

背景と理由

確認済み事実：この問題は特定構成のsshdを通じ、正規のパスワードを知らない攻撃者にログインを許す可能性があるものです。Alpine Linuxは、コンテナー内でsshdを動かしていない利用者やPasswordAuthentication noの構成等を非該当として説明しています。

編集上の提案・分析：クラウド利用かオンプレミスかという区分だけでは対象を判定できません。VM、保守用イメージ、仮想アプライアンス、委託先の管理用環境を対象に、OS、認証構成、SSH公開範囲を照合します。クラウド提供元がホストを保守していても、ゲストOSや製品内の更新担当を契約で確認してください。

具体的な適用期日・数値・対象範囲

確認済み事実：上流の修正版OpenSSH 10.6p2の公開日は2026年11月5日、Alpine Linuxのアドバイザリも同日付です。JPCERT/CCの掲載日と表示上の最終更新日は11月9日、本稿の公開日・確認日は日本時間11月10日です。これらを修正の適用完了日と混同しません。

確認済み事実：JPCERT/CCは、10.6p2より前の環境のうち、以下の条件を満たす場合に影響する可能性を説明しています。実際の判定は製品提供元の最新情報と照合します。

確認済み事実：配布元によっては旧バージョンへ修正をバックポートしています。上流の版番号だけで未修正と断定しません。一律の法定適用期限、各組織の侵害発生日、OpenSSHとAlpine Linux資料の独立した改訂日は確認できずnullとします。

• musl libcを使用するLinux環境である。
• PAMによる認証が無効で、OpenSSHのパスワード認証が有効である。
• パスワード欄にアスタリスク1文字等を持つアカウントが存在する。
• 別のローカルアカウントにSHA-256またはSHA-512形式（接頭辞$5$または$6$）のパスワードハッシュがある。

技術・システム上の確認事項

確認済み事実：Alpine Linuxは更新後のsshd再起動を求め、パッケージの更新だけでは実行中のデーモンが置き換わらないと説明しています。更新が直ちにできない場合はパスワード認証を無効にして再起動する対策を示し、その前に鍵認証と新規ログインを確認するよう案内しています。

編集上の提案・分析：変更前にコンソール等の代替管理経路と鍵認証を確認し、設定検証、再起動、新規セッションの疎通までを一連の作業として受け入れます。修正済みパッケージ名・版・配布元の証明、実行プロセスの切替時刻、接続試験結果を保存してください。

編集上の提案・分析：認証ログ、権限昇格、アカウント追加、公開鍵変更、不審なプロセス・外部通信を調査対象にします。ログが残っていない期間は調査不能範囲として記録し、痕跡が見つからないことだけで侵害を否定しないでください。調査と証拠保全は必要な技能を持つ担当者へ依頼します。

経営・監査・契約・責任分界上の論点

編集上の提案・分析：委託先への依頼は、更新実施、稼働プロセスへの反映、影響調査、ログ引渡しを分けてください。対象外との回答にも、製品版、構成、提供元の根拠を求めます。暫定的な接続制限の実施を、恒久修正や侵害調査の完了と同じ状態にしないことを提案します。

編集上の提案・分析：保守契約では、緊急変更の承認権限、夜間対応、再起動に伴う停止、調査費用、再委託先の協力、ログ保全・提供範囲を確認します。可用性SLAを満たしていることだけで、認証回避への対処が完了したとは評価できません。

編集上の提案・分析：侵害の可能性が残る場合は、隔離・再構築、資格情報の扱い、業務再開と顧客説明の判断者を定めます。法令上の報告・通知の該当性や期限は実際の被害・保有情報等を踏まえ、個別に確認する事項です。

本稿は一般的な情報と編集上の分析であり、個別案件の法的判断は行いません。行政書士として対応可能かは、関係法令と業務範囲の事前確認が必要です。必要に応じて弁護士やインシデント対応の専門家等と連携してください。

エグゼクティブ向けアクション／確認リスト

編集上の提案・分析：下記を緊急変更の確認リストとして利用し、資産ごとに対象・非対象・調査中を管理してください。社内期限は露出と業務影響から設定するもので、政府が一律に指定した期限ではありません。

• 対象資産、管理経路、更新担当と保守窓口を確定する。
• 暫定制限、修正、再起動、侵害調査の各完了条件を承認する。
• 証跡を確認した者と、残存リスクを受容して再開する者を記録する。

公式一次情報

日本語のJPCERT/CC資料を優先し、開発元のOpenSSHとAlpine Linuxの対策情報を併せて確認しました。sourcesのsourceDateはラベルに示す掲載・更新日またはリリース日です。未確認の改訂日や自社の適用完了日を推定して補っていません。