Przejdź do treści
Infrastruktura

Copy.Fail – najpoważniejsza luka w Linux od lat. Co muszą wiedzieć administratorzy?

Podatność Copy.Fail w jądrze Linux pozwala każdemu użytkownikowi bez uprawnień uzyskać pełny dostęp do systemu. Atak działa na wszystkich głównych dystrybucjach, omija standardowe zabezpieczenia i zagraża przede wszystkim środowiskom współdzielonym – kontenerom, chmurze i CI/CD. Administratorzy powinni jak najszybciej zaktualizować jądro.

3 min read
An abstract visualization of a Linux kernel represented as a complex network of glowing circuits, with a single crack spreading through the center, surrounded by small container icons and a shield symbol being bypassed by a thin red line.

Na początku maja 2026 roku świat cyberbezpieczeństwa obiegła informacja o podatności określanej jako Copy.Fail. To – jak piszą eksperci – najpoważniejsza luka w jądrze Linux od lat. Problem nie dotyczy przeglądarki ani schowka, lecz samego jądra systemu. Atakujący, który ma już możliwość uruchomienia kodu na maszynie (nawet jako nieuprzywilejowany użytkownik), może bez żadnych dodatkowych warunków podnieść swoje uprawnienia do poziomu roota. Dla administratorów infrastruktury opartej na Linuxie to sygnał do natychmiastowego działania.

Czym jest Copy.Fail i jak działa?

Podatność została ujawniona 29 kwietnia 2026 roku przez firmę Theori wraz z działającym dowodem koncepcji (PoC). Jak tłumaczą badacze, luka wykorzystuje mechanizm AF_ALG sockets w jądrze Linux (część API kryptograficznego) w połączeniu z wywołaniem systemowym splice(). Pozwala to na zapisanie czterech bajtów naraz bezpośrednio w pamięci podręcznej stron pliku, do którego atakujący nie ma praw zapisu. Co kluczowe – plik na dysku nigdy nie jest modyfikowany, dlatego systemy monitorujące integralność plików, takie jak AIDE czy Tripwire, nie wykrywają ataku. Exploit działa bez modyfikacji na wszystkich głównych dystrybucjach: Ubuntu, RHEL, Debian, SUSE, Amazon Linux, Fedora i wielu innych. Nie wymaga wyścigu ani dostosowywania offsetów – jest uniwersalny.

Google · preferowane źródłaCzytaj nas częściej. Dodaj sekuret.pl do preferowanych źródeł w Google →

Kogo dotyczy to zagrożenie?

Choć termin „lokalna eskalacja uprawnień” brzmi sucho, w praktyce oznacza ogromne ryzyko dla środowisk współdzielonych. Jak zauważa Bruce Schneier w swoim komentarzu, „lokalny” w 2026 roku obejmuje bardzo wiele scenariuszy:

  • Kontenery na współdzielonym węźle Kubernetes – każdy kontener dzieli jądro z sąsiadami. Luka pozwala na ucieczkę z kontenera i przejęcie całego węzła.
  • Współdzielony hosting – klienci na jednym serwerze mogą uzyskać dostęp do danych innych.
  • CI/CD – zadania uruchamiające kod z niezaufanych pull requestów mogą eskalować uprawnienia i zainfekować pipeline.
  • WSL2 na Windows – instancje Linuxa na laptopach pracowników również są podatne.
  • Konteneryzowane agenty AI – jeśli mają dostęp do shella, luka umożliwia pełne przejęcie.

W każdym z tych przypadków atakujący, który zdobędzie choćby minimalny dostęp do wykonania kodu, może stać się rootem – a stamtąd odczytać wszystkie pliki, zainstalować backdoory, monitorować procesy i przeskoczyć do innych systemów.

Dlaczego standardowe zabezpieczenia nie wystarczają?

Problem pogłębia okoliczność, że domyślne profile bezpieczeństwa nie blokują ataku. Kubernetes Pod Security Standards w trybie Restricted oraz domyślny profil RuntimeDefault seccomp nie zatrzymują wywołania systemowego używanego przez exploit. Jak podkreślają badacze, konieczne jest zastosowanie niestandardowego profilu seccomp, który odfiltruje niebezpieczne syscalle. Ponadto, ponieważ plik na dysku nie ulega zmianie, narzędzia oparte na sumach kontrolnych (AIDE, Tripwire) nie alarmują. Oznacza to, że administratorzy mogą długo nie wiedzieć o kompromitacji.

Jak się bronić przed Copy.Fail?

Najważniejszym krokiem jest aktualizacja jądra Linux. Łata głównego nurtu (mainline) trafiła do repozytorium już 1 kwietnia 2026 roku. Dystrybucje stopniowo udostępniają zaktualizowane pakiety – administratorzy powinni sprawdzić dostępność poprawek dla swoich systemów i wdrożyć je jak najszybciej. W międzyczasie można:

  • Zastosować niestandardowy profil seccomp, który blokuje wywołania splice() i AF_ALG w kontenerach.
  • Wzmocnić monitoring – choć standardowe narzędzia nie wykrywają ataku, nietypowe zachowania procesów (np. zapis do pamięci podręcznej plików bez praw) mogą być wychwycone przez zaawansowane systemy EDR.
  • Segmentować środowiska – ograniczyć współdzielenie jąder tam, gdzie to możliwe (np. dedykowane węzły dla wrażliwych obciążeń).
  • Ograniczyć możliwość uruchamiania kodu przez nieuprzywilejowanych użytkowników – im mniejsza powierzchnia ataku, tym trudniej o pierwszy krok.

Warto śledzić komunikaty producentów dystrybucji oraz wpis Bruce’a Schneiera, który szczegółowo opisuje konsekwencje luki. Copy.Fail to nie jest kolejna drobna podatność – to realne zagrożenie dla każdej infrastruktury opartej na Linuxie, zwłaszcza w modelach współdzielonych. Działanie już dziś może uchronić przed poważnym incydentem.

#aktualizacja jądra #eskalacja uprawnień #Kubernetes #Linux #podatność #seccomp
Redakcja sekuret.pl

Redakcja sekuret.pl

AUTHOR
All articles

Read next

Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Photorealistic image of a worried man looking at his smartphone on a Berlin street, with subtle surveillance cameras in the background, natural daylight, depth of field, 16:9, photojournalistic style, slight grain, no text or logos. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Infrastruktura

Niemcy będą gromadzić adresy IP przez 3 miesiące. Co to znaczy dla Twojej prywatności?

28 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Fotorealistyczne zdjęcie stockowe: młoda kobieta około 30 lat, siedzi przy stole w polskim mieszkaniu, trzyma smartfona w dłoni, twarz zaniepokojona, patrzy na ekran telefonu (widok od tyłu telefonu, bez widocznego interfejsu). Na stole leży portfel i karta płatnicza (bez widocznych napisów). Naturalne światło dzienne wpadające przez okno. Głębia ostrości: twarz i telefon ostre, tło lekko rozmyte. Kadr 16:9, zbliżenie na twarz i dłonie. Styl jak zdjęcie reporterskie z Getty Images, lekki szum, wysoki kontrast. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Infrastruktura

75 milionów rekordów Revolut na czarnym rynku. Czy twoje dane są bezpieczne?

28 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Fotorealistyczne zdjęcie stockowe: młoda kobieta trzyma w dłoni banknot 20 euro, patrzy na niego z zaskoczeniem i uśmiechem. Naturalne światło dzienne, wnętrze mieszkania, na stole leżą inne banknoty i monety. Niewyraźny fragment banknotu (bez czytelnych napisów), twarz kobiety wyraża dumę i ciekawość. Kadr zbliżony, głębia ostrości, lekki szum. Styl Getty Images. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Infrastruktura

Nowy banknot euro z Polką? EBC pokazał projekt. Skłodowska-Curie na 20 euro

27 lipca, 2026 3 min read