OpenSSH deixou contas trancadas abertas há 10 anos por causa de um asterisco
A falha, batizada de *sshole, fazia o OpenSSH confundir erro de cálculo com autenticação bem-sucedida: bastava digitar uma senha enorme.
O OpenSSH, usado para acesso remoto em servidores Linux, tinha uma falha escondida há cerca de 10 anos: com senha de 257 bytes ou mais, era possível entrar em contas onde o login por senha estava proibido. O bug, batizado de *sshole (CVE-2026-123158), foi revelado em 5 de novembro pelo pesquisador Özgün Kürtekin, da empresa de segurança Wakefield.
A causa é um combo infeliz: o musl libc, biblioteca padrão do Alpine Linux, devolve um asterisco quando o cálculo do hash falha, e contas sem senha também ficam marcadas com asterisco. O OpenSSH comparava os dois asteriscos e concluía que a autenticação tinha dado certo.