OpenSSH 在 10.3 版本之前可以使用意外的 ECDSA 算法。在 PubkeyAcceptedAlgorithms 或 HostbasedAcceptedAlgorithms 中列出任何 ECDSA 算法会被误解为所有 ECDSA 算法。

此漏洞允许攻击者利用OpenSSH服务器配置中的ECDSA算法列表，绕过预期的安全限制。攻击者可以通过指定不受信任或弱化的ECDSA算法来执行身份验证，从而可能导致未经授权的访问。虽然CVSS评定为低危，但如果OpenSSH服务器用于关键系统或服务，则潜在影响仍然值得关注。攻击者可能利用此漏洞进行横向移动，访问其他受保护的系统，或者窃取敏感数据。由于ECDSA算法广泛应用于安全通信协议，因此该漏洞的潜在影响不应被低估。虽然目前没有公开的利用代码，但该漏洞的存在增加了攻击者利用其进行攻击的可能性。

1. 已保留2026-04-02
2. 发布日期2026-04-02
3. 修改日期2026-04-03
4. EPSS 更新日期2026-04-10

解决CVE-2026-35387的最佳方法是升级到OpenSSH 10.3或更高版本。如果无法立即升级，可以考虑以下缓解措施：严格限制PubkeyAcceptedAlgorithms和HostbasedAcceptedAlgorithms中允许的ECDSA算法列表，只允许经过验证的、安全的算法。实施更严格的身份验证策略，例如多因素身份验证，以降低攻击者利用此漏洞的风险。监控OpenSSH服务器的日志，以检测任何异常活动或未经授权的访问尝试。如果升级过程中出现问题，可以考虑回滚到之前的稳定版本，并在升级前进行充分的测试。升级后，务必验证身份验证功能是否正常工作，并确认ECDSA算法配置是否符合安全要求。