2 апреля 2026 года состоялся релиз открытой реализации клиента и сервера для работы по протоколам SSH 2.0 и SFTP — инструмента OpenSSH 10.3. В новой версии в основном исправлены ошибки и баги, обнаруженные после выхода предыдущей стабильной сборки, а также обновлены компоненты и подготовлены патчи для уязвимостей.
9 апреля 2025 года вышла версия OpenSSH 10.0, где была полностью удалена поддержка алгоритма подписи DSA, добавлена возможность использования постквантового алгоритма mlkem768×25 519-sha256 для согласования ключей по умолчанию, а также появилась поддержка активации systemd‑style socket в Portable OpenSSH.
По информации OpenNET, основные изменения и доработки в OpenSSH 10.3:
устранена уязвимость, позволяющая атакующему, контролирующему имя пользователя, передаваемое при запуске утилиты ssh, потенциально добиться выполнения произвольных shell‑команд. Уязвимость проявляется в системах, использующих подстановку «%u» в некоторых директивах файла конфигурации, таких как «Match exec». Проблем вызвана проверкой спецсимволов в имени пользователя на стадии после выполнения%‑подстановок в файле конфигурации ssh_config;
устранена проблема с безопасностью в sshd, вызванная некорректным сопоставлением опции authorized_keys principals="" со списком имён (principal) в сертификате в ситуации, когда в именах указан символ ",". Для эксплуатации уязвимости необходимо, чтобы в опции authorized_keys principals="" было указано несколько имён и чтобы удостоверяющий центр выписал сертификат с несколькими именами, разделёнными запятой (обычно такое недопускается). Изменено поведение в отношении сертификатов с пустым именем - ранее пустое имя подпадало под все опции authorized_keys principals="", а теперь не подпадает;
в scp устранена проблема, из‑за которой после загрузки файла с правами root с указанием опции «‑O» и без опции «‑p» не очищались флаги setuid/setgid;
в sshd исправлена проблема с обработкой ключей ECDSA в директивах PubkeyAcceptedAlgorithms и HostbasedAcceptedAlgorithms, из‑за которой в случае указания любого алгоритма ECDSA (например, «ecdsa‑sha2-nistp384») начинали приниматься и все остальные алгоритмы на базе ECDSA, даже если они явно не перечислены в списке допустимых;
в ssh и sshd при взаимодействии c SSH‑агентами добавлена поддержка идентификаторов (codepoint), определённых IANA в спецификации draft‑ietf‑sshm‑ssh‑agent. Поддержка ранее используемых идентификаторов вида «@openssh.com» сохранена;
в ssh‑agent реализовано расширение «query», определённое в спецификации draft‑ietf‑sshm‑ssh‑agent и позволяющее определить поддерживаемые агентом функции. Для запроса списка поддерживаемых расширений протокола через запрос «query» в утилиту ssh‑add добавлена опция «‑Q»;
в sshd_config разрешено указание нескольких файлов в директиве RevokedKeys, а в ssh_config — в директиве RevokedHostKeys;
в ssh добавлена escape‑команда «~I» и опция «‑O conninfo» для показа информации о текущем соединении, а также опция «‑O channels» для показа информация об открытых каналах;
в sshd в директиве PerSourcePenalties реализована опция 'invaliduser' для добавления задержки в случае попытки входа под несуществующим пользователем (по умолчанию 5-секунд). Добавлена возможность указания нецелых значений задержки;
в sshd добавлена опция GSSAPIDelegateCredentials для управления приёмом делегированных учётных данных, предоставленных клиентом;
в ssh‑keygen добавлена поддержка записи ключей ED25519 в формате PKCS8;
добавлена поддержка схемы цифровых подписей ed25519, реализованная через libcrypto.
