Kerngegevens
- Leverancier
- OpenSSH
- Product
- OpenSSH
- Soort software
- basissoftware
- Getroffen versies
- OpenSSH ouder dan 10.6
- Oplossing
- Update beschikbaar
- Opgeloste versie
- OpenSSH 10.6
- CVE gepubliceerd
- 6 oktober 2026
- Gepubliceerd op LekkenRadar
- 13 oktober 2026
- Laatst gewijzigd bij NVD
- 13 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In sshd, de server van OpenSSH, kunnen inloggegevens ten onrechte bewaard blijven nadat een inlogpoging met GSSAPIAuthentication is mislukt. Normaal horen die gegevens na een mislukte poging te verdwijnen. Het lek is opgelost in OpenSSH 10.6.
Wie loopt risico?
Je loopt risico als je een sshd draait met een OpenSSH-versie ouder dan 10.6 en die via het netwerk bereikbaar is. Het lek speelt alleen als GSSAPI-authenticatie (meestal gebruikt voor Kerberos) in sshd aanstaat. In de standaardinstelling van OpenSSH staat die uit, maar sommige Linux-distributies zetten die standaard aan. De aanval kan op afstand, zonder inloggegevens en zonder handelingen van een gebruiker. Het lek staat niet op de lijst van actief misbruikte lekken.
Wat moet je doen?
Controleer je versie
Kijk op je servers en apparaten welke OpenSSH-versie sshd draait. Alles ouder dan 10.6 is getroffen.
Kijk of GSSAPI aanstaat
Controleer in sshd_config of GSSAPIAuthentication op yes staat, of draai sshd -T | grep -i gssapi. Staat het uit, dan ben je niet kwetsbaar voor dit lek.
Werk OpenSSH bij
Installeer OpenSSH 10.6 of nieuwer en herstart sshd. Draai je OpenSSH via het besturingssysteem of een apparaat van een leverancier, kijk dan of die een bijgewerkt pakket of firmware aanbiedt.
Zet GSSAPI uit als je het niet gebruikt
Gebruik je geen Kerberos-aanmelding via SSH, zet dan GSSAPIAuthentication op no en herstart sshd. Zo beperk je het risico tot de update er is.
Dezelfde update lost meer lekken op
OpenSSH 10.6 verhelpt ook CVE-2026-106555, een vergelijkbaar lek in de GSSAPI-authenticatie van sshd.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
In sshd in OpenSSH voor versie 10.6 kunnen credentials onterecht blijven bestaan nadat een GSSAPIAuthentication-poging is mislukt. Het gaat om het niet goed opruimen van gegevens na een falende authenticatiestap. Het CVSS-vectorstring (AV:N/AC:L/PR:N/UI:N) wijst op een aanval via het netwerk met lage complexiteit, zonder rechten en zonder gebruikersinteractie. De impact is beoordeeld als hoog voor integriteit, en er is geen impact op vertrouwelijkheid of beschikbaarheid. De fout is verholpen in OpenSSH 10.6.
CVSS-vector (versie 3.1, basisscore 7,5, bron: NVD)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N- Zwakheid (CWE)
- CWE-669 · Onjuiste overdracht van resources tussen beveiligingsdomeinen
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,1%
- Aanvalscode openbaar
- Nee