Have any questions?
+44 1234 567 890
06.11.2026 12:32
CVE-2026-123158 (“sshole”): ReportServer Is Not Affected
The security vulnerability CVE-2026-123158 (“sshole”) affects the OpenSSH server (sshd) on Alpine Linux and allows password authentication to be bypassed.
ReportServer itself is not affected by this vulnerability. The issue is located in the operating system's OpenSSH service, not in ReportServer or its Java libraries. ReportServer's integrated SFTP server does not use OpenSSH either.
The official ReportServer Docker container is also not affected, as it is not based on Alpine Linux and does not include openssh-server.
Recommendations for Administrators
For custom deployments, we recommend checking the following:
- Is the system running Alpine Linux?
cat /etc/os-release - Is an OpenSSH server installed and accessible?
apk info -v openssh-server
If both conditions apply, update OpenSSH to the latest available version.
As a temporary mitigation, password authentication can be disabled by setting PasswordAuthentication no in sshd_config. Make sure SSH key-based authentication is working before applying this change.
If you have any further questions, please feel free to contact our team (info@infofabrik.de).
CVE-2026-123158 (“sshole”): ReportServer ist nicht betroffen
Die Sicherheitslücke CVE-2026-123158 („sshole“) betrifft den OpenSSH-Server (sshd) unter Alpine Linux und ermöglicht die Umgehung der Passwortauthentifizierung.
ReportServer selbst ist von dieser Schwachstelle nicht betroffen. Die Sicherheitslücke befindet sich im OpenSSH-Dienst des Betriebssystems, nicht in ReportServer oder den verwendeten Java-Bibliotheken. Auch der integrierte SFTP-Server von ReportServer basiert nicht auf OpenSSH.
Der offizielle ReportServer-Docker-Container ist ebenfalls nicht betroffen, da er weder auf Alpine Linux basiert noch openssh-server enthält.
Empfehlungen für Administratoren
Bei eigenen Installationen empfehlen wir folgende Überprüfungen:
- Wird Alpine Linux verwendet?
cat /etc/os-release - Ist ein OpenSSH-Server installiert und erreichbar?
apk info -v openssh-server
Falls beide Bedingungen zutreffen, sollte OpenSSH auf die neueste verfügbare Version aktualisiert werden.
Als vorübergehende Schutzmaßnahme kann die Passwortauthentifizierung in der sshd_config mit PasswordAuthentication no deaktiviert werden. Stellen Sie zuvor sicher, dass die Anmeldung per SSH-Schlüssel funktioniert.
Bei weiteren Fragen steht Ihnen unser Team gerne zur Verfügung (info@infofabrik.de).