発見者のÖzgün Kültekinが公開した解説によると、問題はmuslのcrypt()が失敗時に「」を返す挙動と、OpenSSH側が存在しないユーザー向けに別アカウントのソルトでハッシュする処理が重なったことにある。パスワードが256バイトを超えるとmuslのSHA-512 cryptが失敗して「」を返し、シャドウの「」（ログイン不可の印）と一致してしまう。Alpineの公式AWS/Azureイメージでは既定のalpineユーザーが「」で、パスワードなしのdoasを持つため実害が大きい。glibc系ディストリやPAM経由、Dropbear、OpenBSDは対象外。対策はopensshの更新（10.6p2）か、PasswordAuthentication noへの切り替え。
OpenSSHの*sshole（CVE-2026-123158）、musl上で256文字超のパスワードが鍵専用アカウントを開く
## POINTS
- 対象はmusl上のsshdで、パスワード認証が有効かつUsePAM noの構成。
- シャドウが「*」のアカウントが257〜1024文字の任意パスワードで認証される。
- OpenSSH 10.6p2で修正。更新できない場合はパスワード認証を無効化する。