Qualys 的安全研究人员发现了 OpenSSH 中的两个严重漏洞。其中最严重的漏洞使恶意攻击者能够执行中间人攻击。第一个漏洞 CVE-2025-26465 影响使用 VerifyHostKeyDNS 功能的用户，攻击者可绕过服务器的身份验证，无论该选项设置为 “yes” 还是 “ask” 。该漏洞自 2014 年 12 月以来就存在于软件中，影响从 6.8p1 到 9.9p1 的所有版本。此外还发现了安全漏洞 CVE-2025-26466，它使服务器易受拒绝服务攻击的影响。该问题自 2023 年 8 月以来存在于代码中，影响 9.5p1 到 9.9p1 的版本。攻击者可以在身份验证发生之前，过载系统的内存和处理器。
安全团队已立即发布更新以修复这些问题。建议系统管理员尽快升级到 OpenSSH 9.9p2 。 OpenSSH 广泛用于远程管理系统和安全登录服务器。尽管 VerifyHostKeyDNS 选项目前默认关闭，但在 2013 年 9 月至 2023 年 3 月期间，该选项是默认开启的。
