OpenSSH 10.6 vá loạt lỗi, gồm CVE-2026-106586: chủ VPS cần làm gì

Dự án OpenSSH phát hành OpenSSH 10.6 (bản portable 10.6p1) ngày 6/10/2026, chưa đầy hai tháng sau bản 10.5. Nhóm phát triển cho biết họ sẽ ra bản nhỏ thường xuyên hơn vì số báo cáo lỗi nhờ AI hỗ trợ đang tăng. Bản này không có lỗi chạy mã từ xa mức nghiêm trọng như regreSSHion năm 2024. Tuy vậy, nó sửa khoảng mười vấn đề bảo mật, từ kênh kề (side channel) qua cơ chế nén tới từ khóa restrict không có tác dụng như mong đợi. Gần như mọi VPS Linux đều chạy OpenSSH, nên bạn nên biết mình cần làm gì.

Tóm tắt nhanh

• Ai bị ảnh hưởng: máy chủ và máy khách chạy OpenSSH trước 10.6. Phần lớn lỗi phía sshd chỉ có tác dụng khi bạn bật tính năng không mặc định như nén, GSSAPI/Kerberos hay PermitTunnel.
• Mức độ: thấp đến trung bình. Ví dụ, Ubuntu chấm CVE-2026-106586 CVSS 2.5. Debian xếp CVE-2026-106582 là lỗi nhỏ (minor issue).
• Đã bị khai thác chưa: chưa có báo cáo khai thác thực tế.

Những gì OpenSSH 10.6 sửa

Ghi chú phát hành của OpenSSH không gắn mã CVE. Các mã dưới đây lấy từ Debian Security Tracker, NVD (qua Ubuntu, SentinelOne) và tổng hợp của prepaid-host.com.

• Kênh kề qua nén LZ77 (CVE-2026-106582): dựa trên nghiên cứu "Crossing the Streams" của Fabian Bäumer và Marcus Brinkmann. Khi nhiều kênh trong cùng một kết nối SSH dùng chung từ điển nén, kẻ kiểm soát một kênh có thể suy ra dữ liệu bí mật ở kênh khác từ độ dài gói tin. 10.6 tắt bộ mã hóa từ điển LZ77, nên tính năng nén sẽ kém hiệu quả hơn.
• Từ khóa restrict (CVE-2026-106586): restrict trong authorized_keys không chặn tunnel forwarding. PermitTunnel mặc định đã tắt, nên chỉ máy bật tunnel mới bị ảnh hưởng.
• GSSAPI (CVE-2026-106553, CVE-2026-106555): thông tin xác thực của một lần thử GSSAPI thất bại vẫn còn lại sau lần đăng nhập thành công.
• sftp (CVE-2026-106552): máy chủ độc hại có thể ghi tệp ra ngoài thư mục đích khi máy khách sao chép đệ quy.
• Tên người dùng trên dòng lệnh (CVE-2026-106583): ký tự $ và \ có thể lọt vào shell qua ProxyCommand hoặc Match exec. 10.6 từ chối các tên này.
• Các lỗi khác: gói nén vượt kích thước gói tối đa (CVE-2026-106585), giá trị "none" trong khối Match bị hiểu là tên tệp (CVE-2026-106587), lỗi giờ mùa hè trong ssh-keygen (CVE-2026-106584), và sshd-session giữ quyền root trên một số nền tảng như QNX 6 (CVE-2026-106589). Lỗi cuối không ảnh hưởng Linux.

Lưu ý: ghi chú phát hành 10.5 (11/8/2026) cũng có một mục sửa từ khóa restrict với tunnel forwarding, trong khi NVD mô tả CVE-2026-106586 là "trước 10.6". Bạn nên dựa vào trạng thái gói của bản phân phối thay vì chỉ nhìn số phiên bản upstream.

Trạng thái bản vá trên các bản phân phối

Với RHEL, AlmaLinux và Rocky Linux, bạn theo dõi trang CVE của Red Hat. Các hãng này thường vá ngược vào bản OpenSSH cũ thay vì nâng số phiên bản.

Kiểm tra phiên bản và cập nhật

# Phiên bản OpenSSH
ssh -V

# Ubuntu/Debian: xem gói đang cài và cập nhật
dpkg -l openssh-server | tail -n 1
sudo apt update && sudo apt install --only-upgrade openssh-server openssh-client

# RHEL/AlmaLinux/Rocky
rpm -q openssh-server
sudo dnf upgrade openssh-server openssh-clients

Xem các tùy chọn đang có hiệu lực, rồi tắt những gì không dùng trong /etc/ssh/sshd_config hoặc trong một tệp ở /etc/ssh/sshd_config.d/:

sudo sshd -T | grep -Ei "^(compression|permittunnel|gssapiauthentication)"

# Thêm vào /etc/ssh/sshd_config.d/99-hardening.conf
Compression no
PermitTunnel no
GSSAPIAuthentication no

# Kiểm tra cú pháp trước khi khởi động lại, giữ phiên SSH hiện tại
sudo sshd -t
# Nếu lệnh trên không báo lỗi:
sudo systemctl reload ssh     # Ubuntu/Debian
sudo systemctl reload sshd    # RHEL/AlmaLinux/Rocky

Tên dịch vụ là ssh trên Ubuntu/Debian và sshd trên RHEL/AlmaLinux. Hãy giữ phiên đang mở cho tới khi đăng nhập thử thành công bằng một phiên mới.

Việc cần làm ngay

Với chủ VPS và máy chủ riêng

1. Cập nhật gói OpenSSH từ kho chính thức của bản phân phối. Không cần tự biên dịch 10.6 trừ khi bạn có lý do đặc biệt.
2. Nếu dùng Debian 12/13 và chưa có bản sửa, đặt Compression no, PermitTunnel no, và GSSAPIAuthentication no nếu bạn không dùng Kerberos.
3. Rà soát authorized_keys. Khóa dùng cho backup hay CI có restrict thì vẫn nên kèm command= và from= để giới hạn chặt hơn.
4. Trong script tự động, không truyền tên người dùng lấy từ nguồn không tin cậy vào lệnh ssh. Chỉ dùng sftp -r với máy chủ bạn tin cậy.
5. Duy trì các biện pháp cơ bản: đăng nhập bằng khóa, tắt mật khẩu, giới hạn IP hoặc dùng fail2ban.

Với khách hàng shared hosting

• OpenSSH trên máy chủ do nhà cung cấp quản lý. Phía bạn chỉ cần cập nhật SSH client trên máy tính, ví dụ Git for Windows, Windows OpenSSH hay Homebrew trên macOS.
• Chỉ dùng sftp hoặc scp với máy chủ bạn tin cậy, và kiểm tra fingerprint ở lần kết nối đầu tiên.

Nguồn tham khảo

• OpenSSH Release Notes (10.6)
• Ubuntu Security: CVE-2026-106586
• Debian Security Tracker: CVE-2026-106582
• SentinelOne: CVE-2026-106586
• GBHackers: OpenSSH 10.6 Fixes Security Flaws Including SSH Plaintext Recovery Attack
• prepaid-host.com: OpenSSH 10.6 closes ten vulnerabilities