В ssh-agent, ssh-pkcs11-helper и ssh-add добавлена обработка опции командной строки "-v" для увеличения информативности вывода (при указании данная опция передаётся и дочерним процессам, например, когда из ssh-agent вызывается ssh-pkcs11-helper);

В ssh-add добавлена опция "-T" для тестирования пригодности ключей в ssh-agent для выполнения операций создания и верификации цифровых подписей;

В sftp-server реализована поддержка расширения протокола "lsetstat at openssh.com", добавляющего для SFTP поддержку операции SSH2_FXP_SETSTAT, но без следования по символическим ссылкам;

В sftp добавлена опция "-h" для выполнения команд chown/chgrp/chmod с запросами, не использующими символические ссылки;

В sshd обеспечено выставление переменной окружения $SSH_CONNECTION для PAM;

Для sshd в ssh_config добавлен режим сопоставления "Match final", аналогичный "Match canonical", но не требующий включения нормализации имени хоста;

В sftp добавлена поддержка префикса '@' для отключения трансляции вывода команд, выполняемых в пакетном режиме;

При выводе содержимого сертификата при помощи команды "ssh-keygen -Lf /path/certificate" теперь отображается алгоритм, использованный удостоверяющим центром для заверения сертификата;

Улучшена поддержка окружения Cygwin, например обеспечено сравнение имён групп и пользователей без учёта регистра символов. Процесс sshd в порте для Cygwin изменён на cygsshd для того чтобы избежать пересечений с портом OpenSSH, поставляемым Microsoft;

Добавлена возможность сборки с экспериментальной веткой OpenSSL 3.x;

Устранена уязвимость (CVE-2019-6111) в реализации утилиты scp, позволяющая перезаписать произвольные файлы в целевом каталоге на стороне клиента при обращении к подконтрольному злоумышленнику серверу. Проблема заключается в том ,что при применении scp сервер принимает решение о том, какие файлы и каталоги отправить клиенту, а клиент лишь проверяет корректность возвращённых имён объектов. Проверка на стороне клиента ограничена лишь блокированием выхода за границы текущего каталога ("../"), но не учитывает передачу файлов с именами, отличающимися от изначально запрошенных. В случае рекурсивного копирования (-r) кроме имён файлов подобным способом можно манипулировать и именами подкаталогов. Например, в случае копирования пользователем в домашний каталог файлов, подконтрольный атакующим сервер может выдать вместо запрошенных файлов файлы с именами .bash_aliases или .ssh/authorized_keys, и они будут сохранены утилитой scp в домашнем каталоге пользователя.

В новом выпуске в утилиту scp добавлена проверка соответствия запрошенных и отданных сервером имён файлов, выполняемая на стороне клиента. При этом могут возникнуть проблемы с обработкой масок, так как символы раскрытия масок могут по разному обрабатываться на стороне сервера и клиента. На случай, если из-за подобных различий клиент перестанет принимать файлы в scp добавлена опция "-T", позволяющая отключить проверку на стороне клиента. Для полноценного исправления проблемы требуется концептуальная переделка протокола scp, который сам по себе уже устарел, поэтому вместо него рекомендовано использовать более современные протоколы, такие как sftp и rsync.