Ansible SSH主机密钥验证绕过漏洞 CVE-2026-126641
CVE-2026-126641: ansible-pylibssh / ansible.netcommon libssh: changed SSH host key accepted when host_key_auto_add is enabled
Ansible重度用户必读：SSH密钥验证逻辑被绕过，直接威胁自动化运维安全。请立即检查依赖版本并跟进官方补丁升级。
Posted by Ryo utomo on Nov 12
由 Ryo utomo 发布于 11 月 12 日
Hello,
你好，
This is a public disclosure of CVE-2026-126641, a host key verification
这是关于 CVE-2026-126641 的公开披露，该漏洞涉及 ansible-pylibssh 及 ansible.netcommon libssh 连接插件中的主机密钥验证缺陷。
flaw in ansible-pylibssh and in the ansible.netcommon libssh connection
Red Hat Product Security 确认了该问题，分配了 CVE 编号，并于 2026-11-12 解除了保密限制。
plugin. Red Hat Product Security confirmed the issue, assigned the CVE
and lifted the embargo on 2026-11-12.
Summary
摘要
When trust-on-first-use is enabled (host_key_auto_add on the
当启用首次使用信任（在 ansible.netcommon libssh 插件中为 host_key_auto_add，或在 pylibssh 中为 AutoAddPolicy）时，一个已存在于 known_hosts 但如今……的主机
ansible.netcommon libssh plugin, or AutoAddPolicy in pylibssh), a host
that is already in known_hosts but now...
更进一步：量化金融体系
看懂新闻只是起点——沿量化金融路径，把它变成能交付的工程能力