判斷漏洞影不影響你，要比對公告的前提條件。OpenSSH 限 musl 且停用 PAM 的 Linux；APT 影響 Debian、Ubuntu，皆有修補。
看到漏洞新聞，要比對哪幾件事？
判斷漏洞新聞要比對的，是一手公告列出的前提條件，不是標題，也不是分數。通用漏洞評分系統（CVSS）評的是漏洞本身，不是你的環境。老闆不必自己查，但可以要求 IT 或廠商照這四步回報：
- 找一手公告：軟體維護者或作業系統廠商的公告才會寫清條件，轉貼常把條件省略。
- 列出受影響條件：公告會寫哪些情況受影響、哪些不受影響，兩份都要抄，也要看清楚寫的是全部成立還是任一成立。
- 逐條對照環境：作業系統、版本、設定值、服務有沒有對外開放，由實際管主機的人確認。
- 依結果決定處理等級：對照下表。
| 比對結果 | 代表什麼 | 怎麼處理 |
|---|---|---|
| 符合受影響條件 | 風險已經存在 | 依公告修補或採暫行做法，並查是否已遭入侵 |
| 明確不符 | 這個漏洞目前碰不到你 | 留下比對紀錄，依一般更新週期處理 |
| 有條件查不到 | 不能當作沒事 | 先當作受影響，問能查到的人；主機由廠商管就問廠商 |
OpenSSH 和 APT 這兩個漏洞，條件差在哪？
OpenSSH 漏洞看的是主機的系統與登入設定，APT 漏洞看的是主機下載套件時的網路路徑。2026 年 11 月 4 日與 5 日，Linux 主機常用的套件管理工具 APT 與遠端登入工具 OpenSSH 先後公布漏洞；新聞標題讀起來像所有主機都有事，但這兩個漏洞影響的主機幾乎不重疊。事件狀態以 2026 年 11 月 6 日為準。
表中的 musl 與 glibc 是 Linux 的兩種 C 函式庫，PAM 是可插拔認證模組。
| 項目 | OpenSSH（CVE-2026-123158） | 套件管理工具 APT（CVE-2026-109518） |
|---|---|---|
| 影響的系統 | 使用 musl 且未使用 PAM 的 Linux，Alpine 是其中一例 | Debian 12、Ubuntu 22.04 起預設受影響；更舊的版本要把重試設定改成非 0 才受影響 |
| 攻擊者要做到 | 連得到 SSH 連接埠，知道一個沒設密碼的帳號名稱 | 能竄改主機與套件來源之間的 HTTP 流量，包含惡意鏡像站或代理 |
| 主機要符合 | 開放密碼登入、有沒設密碼的帳號、另有帳號設了密碼 | 正在安裝套件，且下載失敗會重試 |
| 後果 | 不知道密碼也能登入；帳號能提權時可取得 root | 被裝上攻擊者的套件，以 root 權限執行 |
| CVSS | 8.1（3.1 版） | 7.7（4.0 版） |
| 不受影響 | glibc 的 Linux；使用 PAM 驗證密碼；已關閉密碼登入；容器內沒跑 sshd | 走 HTTPS 下載；透過 snap 安裝的軟體 |
符合條件的 OpenSSH 主機要緊急處理嗎？
符合條件的 OpenSSH 主機要緊急處理，不要等下一次維護時段。OpenSSH 專案的 Damien Miller 在公告中要求這類系統關閉密碼登入或停用 SSH，用語是「IMMEDIATELY」；Alpine 公告則說攻擊只要一次連線、每次都成功。條件是在使用 musl 的 Linux 上，以下四項同時成立：
- sshd 沒有使用 PAM，Alpine 預設的 openssh-server 即是。
- 密碼登入開啟，這是 OpenSSH 的預設值。
- 有密碼欄為
*的帳號，常見於只用金鑰登入的帳號。 - 至少另一個本機帳號設了密碼，雜湊以
$5$或$6$開頭。
公開的重現程式已經出現，美國網路安全暨基礎設施安全局（CISA）在 CVE 紀錄中的評估（11 月 5 日）是「已有概念驗證」、不列為可自動化。截至 2026 年 11 月 6 日，我們查到的一手來源都沒有回報實際攻擊；資安公司 watchTowr 的主管則向 CSO Online 表示，預期當週週末前就會有人嘗試。檢查請照官方公告，不要執行來路不明的腳本。
給 IT 的檢查項目，出處都是 Alpine 公告：
- 密碼登入是否開啟：
sshd -T | grep -i passwordauthentication - 更新並重啟：
apk upgrade -U -a後執行rc-service sshd restart；只更新套件不會換掉執行中的 sshd。 - 暫時不能更新：先確認金鑰登入可用，再把
PasswordAuthentication設為 no 並重啟 sshd。 - 是否已被登入：在
/var/log/messages找沒設密碼的帳號出現Accepted password for；無法排除就當作已遭入侵。 - 版本怎麼看：對照公告的版本表，不要只看有沒有到 10.6p2。Alpine 穩定分支是舊版本號帶修補，例如 3.24 的修補版是
10.3_p1-r2。
Debian、Ubuntu 的預設主機不符合這個漏洞的條件。OpenSSH 專案的公告寫明：
This vulnerability does not exist on non-Linux systems, Linux/glibc systems and Linux systems that use PAM for password authentication.
中譯：這個漏洞不存在於非 Linux 系統、使用 glibc 的 Linux，以及以 PAM 驗證密碼的 Linux。（Damien Miller，OpenSSH 專案，2026 年 11 月 5 日）
Debian 13 與 Ubuntu 24.04 的 openssh-server 套件都相依 glibc 與 PAM；Red Hat 也說明自家產品不受影響。截至 2026 年 11 月 6 日，我們未能從 Debian、Ubuntu 的 CVE 頁面讀到自家說明。
Debian、Ubuntu 的 APT 漏洞要怎麼處理？
Debian、Ubuntu 主機要更新 APT，而且更新的那一次就要防。攻擊者要能竄改網路流量，主機也要正在安裝套件，CISA 的評估（11 月 4 日）是尚無利用跡象。觸發門檻較高，但成功後會以 root 權限執行攻擊者的套件，仍然要修。
Ubuntu 16.04 LTS 起預設啟用自動安全更新（unattended-upgrades），依 Ubuntu 公告，開啟時修補會在釋出後 24 小時內自動套用。這是 Ubuntu 對自家機制的說明，不是本公司承諾，仍要請 IT 確認有開、版本有到。
| 系統 | apt 修補版本 |
|---|---|
| Debian 13（trixie） | 3.0.4 |
| Debian 12（bookworm） | 2.6.2 |
| Ubuntu 26.04 LTS | 3.2.1ubuntu0.1 |
| Ubuntu 24.04 LTS | 2.8.4ubuntu0.1 |
| Ubuntu 22.04 LTS | 2.4.15ubuntu0.1 |
給 IT 的做法：
- 查目前版本：
apt list --installed '?source-package(^apt$)'（Ubuntu 公告）。 - Ubuntu 更新：
sudo apt update && sudo apt upgrade -o Acquire::Retries=0。Ubuntu 建議安裝這次更新時暫時把重試設為 0，更新當下才不會被利用。 - Debian 更新：Debian 公告 DSA-6607-1 只寫升級 apt 套件，沒提這個參數。Debian 主機比照帶上參數，是我們依相同機制的推論，不是 Debian 的建議。
主機由廠商代管時，漏洞公告該問廠商什麼？
主機由廠商代管時，要問「查了什麼、結果是什麼」，不要只問「有沒有事」。可以直接把這五題寄給廠商：
- 我們有哪些主機或設備跑 OpenSSH 的 sshd？各是什麼作業系統與版本？
- 其中有沒有使用 musl 的系統？密碼登入有沒有開？
- Debian、Ubuntu 主機的 apt 更新到哪一版？自動更新有沒有開？
- 符合條件的主機，有沒有查過登入紀錄？結果是什麼？
- 這類公告以後怎麼通知我們？緊急處置由誰決定？
第 5 題最好事前談好，可參考先修補再報告的經驗。
路由器、網路設備這類內嵌系統要另外問。資安公司 OX Security 把 OpenWrt、Buildroot、Yocto 列為 musl 系統的例子，但 CSO Online 也指出許多內嵌系統用的是 Dropbear，不是 OpenSSH。設備實際用哪一個要問原廠，韌體通常也只有原廠能更新，請對方提供書面說明。如果連哪些服務對外開放都說不清楚，可以先用弱點掃描與滲透測試盤點對外暴露面。
哪些資安事件不適用前提條件比對？
公告沒有明確前提，或入侵途徑還沒查清楚的資安事件不適用，這時先確認備份救得回來。2026 年 10 月的 Synology 勒索事件就是這種情況，入侵途徑當時還沒有定論，我們在 NAS 勒索事件應變清單的主張是第一件事先確認資料救不救得回來，而不是問有沒有中。兩者順序不同但不衝突：有明確前提就先比對，沒有就先顧備份。
修補之後怎樣才算處理完，可參考看懂安全公告的四件事與驗證步驟。
不確定系統符不符合條件，下一步該找誰？
不確定系統符不符合條件時，先請實際管主機的人或廠商照前面的問題回報；如果還是說不清楚，或想釐清維運責任怎麼分，可以預約諮詢。影響視覺科技為自家開發、重建或接手維護的系統提供系統維運與資安監測方案，實際能協助的範圍依系統來源與現況評估。
常見問題
CVSS 分數高，就代表要緊急處理嗎？
不一定。分數評的是漏洞本身，這次 OpenSSH 漏洞是 8.1，但 glibc 的 Linux 不存在這個漏洞。先比對前提條件，確定符合後，再用分數與是否已有公開攻擊程式排優先順序。
我們用 Docker，映像是 Alpine，會受 OpenSSH 漏洞影響嗎？
要看容器裡有沒有跑 sshd。Alpine 公告列明，容器內沒有跑 sshd 的 Docker 等容器使用者不受影響。如果映像裡確實裝了 sshd 並開放連線，就回到四個條件逐條比對。
新聞沒附公告連結，要去哪裡找一手資料？
先用新聞裡的 CVE 編號查 CVE 紀錄，參考連結通常指向廠商公告；再到作業系統的安全頁面查狀態。想知道是否有實際攻擊，可查 CISA 的已知遭利用漏洞目錄（KEV）。
參考資料
- Damien Miller（OpenSSH），《urgent security release: 10.6p2》，openssh-unix-dev 郵件論壇，2026 年 11 月 5 日。marc.info
- OpenSSH，《Release Notes：OpenSSH 10.6p2》，2026 年 11 月 5 日。openssh.org
- Alpine Linux，《Security advisory: openssh-server password authentication bypass》，2026 年 11 月 5 日。alpinelinux.org
- CVE Program，《CVE-2026-123158》（含 CISA 評估），2026 年 11 月。cve.org
- Red Hat，《CVE-2026-123158》，2026 年 11 月。access.redhat.com
- Debian，《openssh-server 套件資訊（trixie）》，2026 年 11 月 6 日查閱。packages.debian.org
- Ubuntu，《openssh-server 套件資訊（noble）》，2026 年 11 月 6 日查閱。packages.ubuntu.com
- Ubuntu（Luci Stanescu），《CVE-2026-109518 APT vulnerability fixes available》，2026 年 11 月 4 日。ubuntu.com
- Debian，《DSA-6607-1 apt security update》，2026 年 11 月 4 日。lists.debian.org
- Debian Security Tracker，《CVE-2026-109518》，2026 年 11 月 6 日查閱。security-tracker.debian.org
- CVE Program，《CVE-2026-109518》（含 CISA 評估），2026 年 11 月。cve.org
- OX Security，《OpenSSH Bypass: CVE-2026-123158》，2026 年 11 月 5 日。ox.security
- CSO Online，Lucian Constantin，《OpenSSH flaw lets attackers access password-disabled accounts on some Linux systems》，2026 年 11 月 5 日。csoonline.com