En bref

  • CVE-2026-35414 (CVSS 8.1) : contournement d'authentification dans OpenSSH avec certificats CA SSH — faille introduite dans le code il y a 15 ans
  • Systèmes affectés : toutes versions d'OpenSSH antérieures à 10.3 utilisant des certificats CA avec principals contenant des virgules
  • Action requise : mettre à jour vers OpenSSH 10.3 sur l'ensemble des serveurs et clients — correctif disponible depuis avril 2026

Les faits

Une faille de contournement d'authentification vieille de quinze ans a été découverte et documentée dans OpenSSH, le logiciel de connexion distante sécurisée le plus déployé au monde. Référencée CVE-2026-35414 avec un score CVSS de 8,1, la vulnérabilité a été corrigée dans OpenSSH version 10.3 publiée début avril 2026. Le CERT-FR l'a signalée dans son bulletin CERTFR-2026-ACT-034 du 12 août 2026, et la Cyber Security Agency of Singapore a émis l'alerte AL-2026-045 pour rappeler l'urgence de la mise à jour aux organisations n'ayant pas encore appliqué le correctif.

La vulnérabilité réside dans la gestion de l'option principals dans le fichier authorized_keys lorsque des certificats émis par une autorité de certification SSH (CA) sont utilisés. OpenSSH emploie la virgule comme délimiteur dans la liste des principals autorisés. La faille survient lorsqu'un certificat CA contient des noms de principals incluant eux-mêmes des caractères virgule : le mécanisme de parsing interprète incorrectement ces virgules internes comme des délimiteurs de liste, aboutissant à une correspondance de principals erronée. En pratique, cela peut permettre à un attaquant en possession d'un certificat CA valide pour un principal normalement non autorisé d'obtenir un accès SSH non autorisé sur le serveur cible, pouvant aller jusqu'à un accès root complet selon la configuration.

SecurityWeek a qualifié CVE-2026-35414 de « faille permettant un accès root shell complet, présente depuis 15 ans dans le code d'OpenSSH ». La longévité de la vulnérabilité est particulièrement frappante : introduite dans le code source il y a environ quinze ans, elle est passée inaperçue pendant toute cette période malgré les nombreux audits de sécurité dont OpenSSH fait l'objet en tant que projet open source de premier plan. Ce phénomène illustre la difficulté inhérente à détecter des bugs de logique métier subtils — contrairement aux vulnérabilités mémoire classiques — même dans des projets très scrutés par la communauté.

CVE-2026-35414 est accompagnée de CVE-2026-35388, une vulnérabilité d'élévation de privilèges dans OpenSSH, également corrigée dans la version 10.3. CVE-2026-35388 concerne l'omission de confirmation de multiplexage de connexion pour les sessions en mode proxy utilisant la fonctionnalité ControlMaster d'OpenSSH. Cette fonctionnalité, qui permet de partager une connexion SSH unique entre plusieurs sessions pour optimiser les performances, peut dans certaines conditions créer une élévation de privilèges lorsque des sessions avec des niveaux de confiance différents sont multiplexées. Les deux failles corrigées simultanément dans OpenSSH 10.3 représentent un niveau de risque cumulé significatif.

La condition d'exploitation de CVE-2026-35414 est importante à préciser : elle requiert qu'une infrastructure PKI SSH avec certificats CA soit en place et que les certificats utilisés comportent des noms de principals incluant des caractères virgule. Si votre infrastructure SSH repose uniquement sur des paires de clés publiques/privées classiques sans certificats CA, vous n'êtes pas exposé à cette CVE spécifique. En revanche, la faille cible précisément les environnements qui ont mis en place une PKI SSH centralisée — via HashiCorp Vault SSH Secrets Engine, Teleport, ou des solutions d'accès privilégié (PAM) basées sur des certificats — une approche pourtant recommandée comme bonne pratique de sécurité. L'ironie est notable.

Les environnements les plus exposés sont les grandes organisations avec une gestion centralisée des accès SSH : opérateurs cloud gérant des flottes de serveurs via des certificats SSH éphémères, organisations DevOps utilisant Teleport ou des solutions similaires, institutions financières et gouvernementales avec des infrastructures d'accès privilégié basées sur des PKI SSH. Dans ces environnements, OpenSSH est déployé sur des centaines voire des milliers de serveurs, créant une surface d'attaque considérable si la mise à jour n'est pas déployée uniformément.

L'ancienneté de CVE-2026-35414 soulève une question opérationnelle légitime : si la faille existe depuis quinze ans, a-t-elle été exploitée avant sa découverte et sa divulgation publique ? Cette hypothèse ne peut pas être écartée. Les acteurs APT étatiques, qui disposent de capacités de recherche en vulnérabilités significatives, ciblent régulièrement les infrastructures SSH des organisations à haute valeur. Une vérification rétrospective des journaux d'authentification SSH — notamment les connexions avec des certificats CA sur des comptes à hauts privilèges — est donc recommandée pour les organisations dont l'exposition était réelle.

OpenSSH 10.3 est disponible depuis début avril 2026. Toutes les distributions Linux majeures (Debian Bookworm/Trixie, Ubuntu 24.04 LTS, RHEL 9/10, AlmaLinux, Rocky Linux, Fedora, Arch) ont publié leurs paquets mis à jour peu après. La mise à jour est disponible via les gestionnaires de paquets standard (apt, dnf, yum, pacman) sans nécessiter de recompilation manuelle sur les systèmes maintenus à jour.

Impact et exposition

CVE-2026-35414 affecte toutes les installations d'OpenSSH antérieures à la version 10.3. L'exposition effective est conditionnée à l'utilisation de certificats CA SSH avec des principals contenant des virgules — configuration moins courante dans les petites structures, répandue dans les grandes organisations utilisant des outils de PKI SSH centralisée. L'exposition est transverse à tous les systèmes d'exploitation utilisant OpenSSH : Linux, macOS, BSD, et tout équipement réseau ou appliance embarquant OpenSSH. Les environnements cloud multi-serveurs avec gestion centralisée des accès SSH via certificats sont particulièrement concernés.

Recommandations

  • Mettre à jour OpenSSH vers la version 10.3 ou ultérieure sur tous les systèmes — serveurs, clients, équipements réseau, appliances
  • Vérifier si votre infrastructure utilise des certificats CA SSH avec des principals contenant des virgules — si oui, prioriser le patching en urgence maximale
  • Auditer rétrospectivement les journaux d'authentification SSH sur les serveurs critiques pour les 6 derniers mois afin de détecter toute connexion anormale
  • Si la mise à jour immédiate est impossible, supprimer temporairement les principals contenant des virgules dans les certificats CA déployés comme mesure de contournement partielle
  • Appliquer simultanément le patch pour CVE-2026-35388 (élévation de privilèges dans le multiplexage ControlMaster SSH)

Comment vérifier rapidement la version d'OpenSSH installée et si mes serveurs sont exposés à CVE-2026-35414 ?

Exécutez ssh -V ou sshd -V sur chaque serveur — la version s'affiche immédiatement. Si elle est inférieure à 10.3, le système est potentiellement vulnérable. Pour évaluer l'exposition réelle à CVE-2026-35414, vérifiez si votre infrastructure utilise une PKI SSH centralisée (Vault, Teleport, etc.) et si les certificats émis comportent des principals avec des caractères virgule. Consultez votre équipe IAM ou votre configuration Vault SSH. En cas de doute, la mise à jour vers OpenSSH 10.3 reste la seule action fiable et définitive.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu'elles ne soient exploitées.

Demander un audit