Portable OpenSSH 10.6p2 已于 2026 年 11 月 5 日正式发布。用户可通过 OpenSSH 官网列出的镜像站点获取该软件。作为 SSH 协议 2.0 的完整实现，OpenSSH 内置了 sftp 客户端及服务器支持。

近期，OpenSSH 团队收到大量由 AI 模型发现或辅助挖掘的安全漏洞报告。经评估，尽管多数报告在现实威胁模型中缺乏实际影响，但团队仍欢迎结合人工分析、测试用例及修复方案的高质量报告。

值得注意的是，部分由 AI 识别的漏洞随后被其他研究人员独立发现。这表明潜在攻击者也可能利用类似手段掌握这些漏洞。为此，OpenSSH 团队决定增加版本发布频率，旨在更快向用户推送安全修复，而非等待累积至下一次计划发布。

未来弃用通知

  • scp(1)：开始弃用 -R 标志。该选项用于在远程主机上执行 scp 以实现远程到远程复制，但因依赖远程主机凭据且易受 shell 引用规则差异影响，存在安全风险及使用局限。在 OpenSSH 10.6 中，该选项仍有效但会发出弃用警告；未来版本将忽略此选项，恢复默认的通过本地主机中转的复制行为。
  • sshd(8)：计划在未来版本中移除对不支持文件描述符传递、且 PTY 分配需 root 权限的平台支持。受影响平台包括 SCO OpenServer 5 和 QNX 6 等旧系统。若社区能提供替代方案（如避免 PTY 分配时的 root 权限需求），则可避免此项弃用。

自 OpenSSH 10.6p1 以来的变更

本版本包含针对使用 musl libc 且禁用 PAM 的 Linux 系统的关键安全变通方案，并整合了便携式 OpenSSH V_10_6 稳定分支的一系列漏洞修复。

安全性

  • sshd(8)：修复了一个可在某些禁用 PAM 的 Linux 系统上利用 sshd 进行密码认证绕过的漏洞。虽然根本原因不在 sshd 内部，但团队已在 sshd 层面实施了规避措施。该漏洞由 Wakefield 的 Özgün Kültekin 报告。

漏洞修复

  • sshd(8), ssh(1)：启用后量子混合签名方案 ssh-mldsa44-ed25519 作为允许的 CA 签名算法。
  • ssh(1), sshd(8)：修复使用 ChannelTimeout 时 CPU 占用不足 1 秒的自旋问题。

可移植性改进

  • sshd(8)：修复在设置 SKIP_PRIVDROP 的旧平台上的编译问题。
  • ssh(1), sshd(8)：修复阿塞拜疆语本地化的检测问题。
  • sshd(8), ssh-agent(1)：修复在无 openat(2) 系统调用平台上创建代理套接字的问题。
  • ssh(1), ssh-add(1), ssh-keygen(1)：修复读取密码短语期间收到 SIGINT/SIGQUIT 信号时的异常行为。
  • sshd(8)：允许在 seccomp 沙箱中使用 restart_syscall(2)（bz4036）。