OpenSSH(오픈SSH)가 10.6p2 버전을 통해 특정 리눅스(Linux) 환경에서 발생할 수 있는 심각한 비밀번호 인증 우회 취약점에 대한 긴급 우회 조치를 내놓았습니다. 이번 패치는 musl libc(뮤슬 리브씨)를 사용하고 PAM(Pluggable Authentication Modules, 플러그형 인증 모듈) 지원 없이 빌드 및 실행된 일부 시스템에 영향을 미치며, 공격자가 비밀번호 없이도 인증을 우회할 가능성을 차단합니다. OpenSSH 팀은 이 문제의 근본 원인이 sshd(SSH 데몬) 외부에 있다고 보지만, sshd를 통해 악용될 수 있어 선제적인 대응책을 마련했습니다.
이번 10.6p2 버전은 2026년 11월 5일에 출시되었으며, 핵심은 비밀번호 인증 우회 방지 조치입니다. 특히 Alpine Linux(알파인 리눅스)와 같이 musl libc 기반의 경량 리눅스 배포판에서 PAM이 비활성화된 경우에 취약점이 발생할 수 있습니다. 또한, OpenSSH 팀은 최근 AI(인공지능)가 보안 버그를 독립적으로 빠르게 재발견하는 사례가 늘고 있음을 고려하여, 향후 보안 수정 사항을 정기 릴리스에 모으지 않고 더 자주 배포하기로 결정했습니다. 이는 공격자가 취약점을 악용하기 전에 더 신속하게 대응하기 위한 전략적 변화입니다.
이와 함께 OpenSSH 10.6 계열에서는 여러 중요한 변경 사항이 적용되었습니다. 대표적으로 'scp -R' 명령어의 폐기 절차가 시작되어, 원격 호스트를 경유하는 복사 방식의 보안 위험을 줄이고자 합니다. 현재는 경고만 출력되지만, 향후에는 실행 호스트를 경유하는 방식으로 전환될 예정입니다. 또한, 압축 부채널 공격을 완화하기 위해 LZ77 사전 인코더를 비활성화하여 SSH 압축 효율이 낮아졌으며, 양자내성 서명(Post-Quantum Cryptography) 전환을 위한 'ssh-mldsa44-ed25519' 지원 활성화와 기존 실험용 키 재생성 필요성 등 호환성 변화도 동반됩니다. 이러한 변화들은 전반적인 SSH 보안 강화와 미래 기술 변화에 대한 대응을 목표로 합니다.