你的服务器 OpenSSH 多久没更新了？今天看到这条消息的站长，多半会第一时间去敲 ssh -V。
过去的这个周末，安全社区炸了锅。编号 CVE-2026-123158 的 OpenSSH 漏洞（绰号 SSHole）正被黑客大规模利用，不需要你交出密码，就能远程执行命令、偷走 SSH 密钥，甚至在服务器里留后门。据 BleepingComputer 在 11 月 9 日的报道，该漏洞已出现野外利用，攻击者借此窃取凭证并建立持久化访问。
我们接到不少客户的咨询，问自己用的宝塔面板或者一键脚本装的 OpenSSH 有没有问题。其实不管你用什么面板，只要底层是 Linux 并且对外开放了 SSH 端口，这台机器就在扫描范围内。
扫描器和人不一样，它不挑站
很多人觉得个人博客、企业展示站不会被盯上。事实上，自动扫描工具根本不管你是谁，它只找开着的 22 端口和脆弱的 OpenSSH 版本。一旦失陷，你的服务器就会被用来挖矿、发垃圾邮件，或者当跳板攻击别人。小站并不安全，只是还没轮到你。
现在就连上 SSH，跑一句命令
登录服务器，执行：
ssh -V
会看到类似 OpenSSH_8.9p1 的版本号。如果你用的还是几个月没更新的老版本，基本就在枪口下。如果拿不准，直接按发行版的方式拉到最新——这比去翻安全公告更省时间。
一条命令打补丁，然后做好两件事
修补不复杂。先备份一下 sshd 配置：
sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
然后根据你的系统跑升级：
- Debian / Ubuntu：
sudo apt update && sudo apt install --only-upgrade openssh-server - CentOS / RHEL：
sudo yum update openssh-server
升级完重启服务：sudo systemctl restart sshd。如果暂时不敢重启，至少先把 SSH 访问源收紧。用 ufw 的话可以这样：
sudo ufw allow from 你的固定IP to any port 22
这样就只允许自己的 IP 连入，能挡掉绝大部分扫描。
补丁打完后，顺手把密钥登录配好，禁用密码登录，这是防住未来类似漏洞最省事的办法。如果你平时没精力盯这些安全更新，微码盒的服务器知识库栏目整理了常见服务的一键加固脚本和教程，有空时可以翻翻。
