--- adresse: "https://qvestcon.com/dora-update-markus-junge/ikt-dienstleister-informationsverbund_fa9959d1/" titel: "OpenSSH-Lücke CVE-2026-123158…" beschreibung: "Das BSI warnt vor einer Schwachstelle im Zusammenspiel von OpenSSH und der Systembibliothek musl-libc…" sprache: "de-DE" stand: "2026-11-09" --- Qvestcon News # OpenSSH-Lücke CVE-2026-123158: Pass­wort­an­mel­dung prüfen Das BSI warnt vor einer Schwachstelle im Zusammenspiel von OpenSSH und der Sys­tem­bi­blio­thek musl-libc (CVE-2026-123158, CVSS 8,1 von 10, Kritikalität 2). Ein Angreifer kann sich mit einem überlangen Passwort an einem verwundbaren System anmelden, ohne die Zugangsdaten zu kennen. Das OpenSSH-Projekt hat am 5. November 2026 mit Version 10.6p2 eine Korrektur ver­öf­fent­licht. Betroffen sind laut BSI Alpine Linux und weitere Produkte, bei denen die Pass­wort­prü­fung ohne PAM (Pluggable Authen­ti­ca­tion Modules, Modul für Anmel­de­prü­fun­gen) läuft. Ein Proof-of-Concept ist öffentlich verfügbar. Einordnung von Qvestcon für CISO und IT-Betrieb: 1. Inventar abfragen: Welche Server und Container-Images laufen auf Alpine Linux oder einer anderen musl-Basis, und ist dort die SSH-Pass­wort­an­mel­dung aktiv? 2. Wo das zutrifft, auf 10.6p2 oder die Fassung des Herstellers aktualisieren. Bis dahin die Pass­wort­an­mel­dung abschalten und die Anmeldung per Schlüssel nutzen. 3. IKT-Dienstleister mit Zugang zu den eigenen Systemen schriftlich nach ihrer Betroffenheit fragen. 4. Umgesetzt ist die Maßnahme, wenn zu jedem System die Ver­si­ons­num­mer dokumentiert ist und alle Dienstleister geantwortet haben. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank werden Basisimages von Containern im Patchprozess leicht übersehen. Es lohnt sich, sie ausdrücklich in die Prüfung aufzunehmen. [Cyber](https://qvestcon.com/news/cyber/)05.11.2026 Das BSI warnt vor einer Schwachstelle im Zusammenspiel von OpenSSH und der Sys­tem­bi­blio­thek musl-libc (CVE-2026-123158, CVSS 8,1 von 10, Kritikalität 2). Ein Angreifer kann sich mit einem überlangen Passwort an einem verwundbaren System anmelden, ohne die Zugangsdaten zu kennen. Das OpenSSH-Projekt hat am 5. November 2026 mit Version 10.6p2 eine Korrektur ver­öf­fent­licht. Betroffen sind laut BSI Alpine Linux und weitere Produkte, bei denen die Pass­wort­prü­fung ohne PAM (Pluggable Authen­ti­ca­tion Modules, Modul für Anmel­de­prü­fun­gen) läuft. Ein Proof-of-Concept ist öffentlich verfügbar. Einordnung von Qvestcon für CISO und IT-Betrieb: 1. Inventar abfragen: Welche Server und Container-Images laufen auf Alpine Linux oder einer anderen musl-Basis, und ist dort die SSH-Pass­wort­an­mel­dung aktiv? 2. Wo das zutrifft, auf 10.6p2 oder die Fassung des Herstellers aktualisieren. Bis dahin die Pass­wort­an­mel­dung abschalten und die Anmeldung per Schlüssel nutzen. 3. IKT-Dienstleister mit Zugang zu den eigenen Systemen schriftlich nach ihrer Betroffenheit fragen. 4. Umgesetzt ist die Maßnahme, wenn zu jedem System die Ver­si­ons­num­mer dokumentiert ist und alle Dienstleister geantwortet haben. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank werden Basisimages von Containern im Patchprozess leicht übersehen. Es lohnt sich, sie ausdrücklich in die Prüfung aufzunehmen. - [#Banken](https://qvestcon.com/stichwoerter/b/#banken) - [#Versicherer](https://qvestcon.com/stichwoerter/v-z/#versicherer) - [#Finanz­dienst­leis­ter](https://qvestcon.com/stichwoerter/f-h/#finanzdienstleister) - [#Prü­fungs­pla­nung](https://qvestcon.com/stichwoerter/o-q/#pruefungsplanung) - [#Qvestcon](https://qvestcon.com/stichwoerter/o-q/#qvestcon) - [#MarkusJunge](https://qvestcon.com/stichwoerter/l-n/#markusjunge) - [#ITSicherheit](https://qvestcon.com/stichwoerter/i-j/#itsicherheit) - [#OpenSSH](https://qvestcon.com/stichwoerter/o-q/#openssh) [Ori­gi­nal­quelle: BSI →](https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-306241-1032_bits.html) ### Teilen - [LinkedIn](https://www.linkedin.com/feed/?shareActive=true&text=OpenSSH-L%C3%BCcke%20CVE-2026-123158%3A%20Passwortanmeldung%20pr%C3%BCfen%0A%0ADas%20BSI%20warnt%20vor%20einer%20Schwachstelle%20im%20Zusammenspiel%20von%20OpenSSH%20und%20der%20Systembibliothek%20musl-libc%20%28CVE-2026-123158%2C%20CVSS%208%2C1%20von%2010%2C%20Kritikalit%C3%A4t%202%29.%20Ein%20Angreifer%20kann%20sich%20mit%20einem%20%C3%BCberlangen%20Passwort%20an%20einem%20verwundbaren%20System%20anmelden%2C%20ohne%20die%20Zugangsdaten%20zu%20kennen.%20Das%20OpenSSH-Projekt%20hat%20am%205.%20November%202026%20mit%20Version%2010.6p2%20eine%20Korrektur%20ver%C3%B6ffentlicht.%20Betroffen%20sind%20laut%20BSI%20Alpine%20Linux%20und%20weitere%20Produkte%2C%20bei%20denen%20die%20Passwortpr%C3%BCfung%20ohne%20PAM%20%28Pluggable%20Authentication%20Modules%2C%20Modul%20f%C3%BCr%20Anmeldepr%C3%BCfungen%29%20l%C3%A4uft.%20Ein%20Proof-of-Concept%20ist%20%C3%B6ffentlich%20verf%C3%BCgbar.%20Einordnung%20von%20Qvestcon%20f%C3%BCr%20CISO%20und%20IT-Betrieb%3A%201.%0A%0AQuelle%3A%20BSI%2C%20https%3A%2F%2Fwww.bsi.bund.de%2FSharedDocs%2FCybersicherheitswarnungen%2FDE%2F2026%2F2026-306241-1032_bits.html%0A%0AEinordnung%20von%20Markus%20Junge%2C%20Qvestcon%3A%20https%3A%2F%2Fqvestcon.com%2Fdora-update-markus-junge%2Fikt-dienstleister-informationsverbund_fa9959d1%2F) - [X](https://twitter.com/intent/tweet?text=OpenSSH-L%C3%BCcke%20CVE-2026-123158%3A%20Passwortanmeldung%20pr%C3%BCfen%20%28Markus%20Junge%2C%20Qvestcon%29&url=https%3A%2F%2Fqvestcon.com%2Fdora-update-markus-junge%2Fikt-dienstleister-informationsverbund_fa9959d1%2F) - [Facebook](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fqvestcon.com%2Fdora-update-markus-junge%2Fikt-dienstleister-informationsverbund_fa9959d1%2F) - [WhatsApp](https://wa.me/?text=OpenSSH-L%C3%BCcke%20CVE-2026-123158%3A%20Passwortanmeldung%20pr%C3%BCfen%0A%0ADas%20BSI%20warnt%20vor%20einer%20Schwachstelle%20im%20Zusammenspiel%20von%20OpenSSH%20und%20der%20Systembibliothek%20musl-libc%20%28CVE-2026-123158%2C%20CVSS%208%2C1%20von%2010%2C%20Kritikalit%C3%A4t%202%29.%20Ein%20Angreifer%20kann%20sich%20mit%20einem%20%C3%BCberlangen%20Passwort%20an%20einem%20verwundbaren%20System%20anmelden%2C%20ohne%20die%20Zugangsdaten%20zu%20kennen.%20Das%20OpenSSH-Projekt%20hat%20am%205.%20November%202026%20mit%20Version%2010.6p2%20eine%20Korrektur%20ver%C3%B6ffentlicht.%20Betroffen%20sind%20laut%20BSI%20Alpine%20Linux%20und%20weitere%20Produkte%2C%20bei%20denen%20die%20Passwortpr%C3%BCfung%20ohne%20PAM%20%28Pluggable%20Authentication%20Modules%2C%20Modul%20f%C3%BCr%20Anmeldepr%C3%BCfungen%29%20l%C3%A4uft.%20Ein%20Proof-of-Concept%20ist%20%C3%B6ffentlich%20verf%C3%BCgbar.%20Einordnung%20von%20Qvestcon%20f%C3%BCr%20CISO%20und%20IT-Betrieb%3A%201.%0A%0AQuelle%3A%20BSI%2C%20https%3A%2F%2Fwww.bsi.bund.de%2FSharedDocs%2FCybersicherheitswarnungen%2FDE%2F2026%2F2026-306241-1032_bits.html%0A%0AEinordnung%20von%20Markus%20Junge%2C%20Qvestcon%3A%20https%3A%2F%2Fqvestcon.com%2Fdora-update-markus-junge%2Fikt-dienstleister-informationsverbund_fa9959d1%2F) Diese Einordnung bezieht sich auf die verlinkte Ori­gi­nal­quelle. Sie ist keine Rechts­be­ra­tung im Einzelfall. [Kostenloses Erstgespräch anfragen →](https://qvestcon.com/kontakt/?von=News%3A%20OpenSSH-L%C3%BCcke%20CVE-2026-123158%3A%20Passwortanmeldung%20pr%C3%BCfen#erstgespraech) [Weitere Meldungen in Cyber](https://qvestcon.com/news/cyber/) · [alle Qvestcon-News](https://qvestcon.com/news/)