Luka 'Copy Fail’ w jądrze Linux jest już wykorzystywana. Administratorzy powinni pilnie aktualizować

Amerykańska agencja ds. cyberbezpieczeństwa CISA ostrzegła, że zagrożenie związane z podatnością w jądrze Linux, nazwaną „Copy Fail”, jest już wykorzystywane w rzeczywistych atakach. Luka, oznaczona jako CVE-2026-31431, pozwala nieuprzywilejowanemu lokalnemu użytkownikowi na uzyskanie pełnych praw roota w niezaktualizowanych systemach. To poważne ryzyko dla serwerów, stacji roboczych i urządzeń wbudowanych działających na Linuksie.

Co wiadomo o podatności

Podatność znajduje się w interfejsie algorytmu kryptograficznego algif_aead w jądrze Linux. Jak opisali badacze z firmy Theori, którzy ujawnili lukę i opublikowali dowód koncepcji exploita, atak polega na zapisaniu czterech kontrolowanych bajtów do pamięci podręcznej stron dowolnego pliku z prawem odczytu. Dzięki temu osoba mająca lokalny dostęp do systemu może eskalować swoje uprawnienia do poziomu administratora.

Badacze podkreślili, że ich exploit jest w 100% niezawodny i działa na wielu dystrybucjach. „Ten sam skrypt, cztery dystrybucje, cztery powłoki root – za jednym razem. Ten sam binarny exploit działa bez modyfikacji na każdej dystrybucji Linuksa” – cytują badaczy z Theori.

Które systemy są zagrożone

Podatność dotyczy jąder Linuksa kompilowanych od 2017 roku do momentu wydania łatki. Obejmuje praktycznie wszystkie popularne dystrybucje. Theori przetestowali exploit na Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 10.1 oraz SUSE 16 – we wszystkich przypadkach atak zakończył się sukcesem.

Główne dystrybucje Linuksa zaczęły już udostępniać poprawki w ramach aktualizacji jądra. Analityk podatności Will Dormann z Tharros zwrócił jednak uwagę, że w momencie publikacji informacji przez Theori nie było jeszcze oficjalnych aktualizacji. Oznacza, że administratorzy muszą samodzielnie monitorować komunikaty swojego dostawcy i jak najszybciej instalować łatki.

Reakcja CISA i zalecenia

CISA dodała podatność Copy Fail do swojego katalogu znanych podatności wykorzystywanych w atakach (KEV – Known Exploited Vulnerabilities). Agencja nakazała agencjom federalnym USA załatanie systemów w ciągu dwóch tygodni, do 15 maja 2026 roku. „Ten typ podatności jest częstym wektorem ataku dla złośliwych cyberaktorów i stanowi znaczące ryzyko dla przedsiębiorstw federalnych” – zaznaczyła CISA.

Choć nakaz dotyczy wyłącznie amerykańskiej administracji, CISA wezwała wszystkie zespoły bezpieczeństwa do priorytetowego łatania CVE-2026-31431. W praktyce oznacza, że każda organizacja używająca Linuksa powinna jak najszybciej sprawdzić dostępność aktualizacji jądra i wdrożyć je w swoich systemach.

Co powinien zrobić administrator

Przede wszystkim należy zidentyfikować wszystkie systemy z jądrem Linuksa skompilowanym po 2017 roku. Następnie sprawdzić, czy producent dystrybucji udostępnił już łatkę. Aktualizację należy przeprowadzić zgodnie z procedurami – najlepiej najpierw w środowisku testowym, a potem na serwerach produkcyjnych.

Warto również rozważyć ograniczenie lokalnego dostępu do systemów tylko do zaufanych użytkowników oraz wdrożenie mechanizmów monitorujących próby eskalacji uprawnień. Podatność wymaga bowiem lokalnego dostępu, co zmniejsza ryzyko ataku zdalnego, ale nie eliminuje go całkowicie – zwłaszcza w środowiskach, gdzie użytkownicy mają konta shellowe.

Kontekst i wnioski

Podatność Copy Fail jest kolejnym przykładem, jak luki w jądrze Linuksa mogą być wykorzystywane do eskalacji uprawnień. Wcześniej, w kwietniu 2026 roku, łatano podobną lukę Pack2TheRoot (CVE-2026-41651), która utrzymywała się w demonie PackageKit przez ponad dekadę. Jak wskazują statystyki Cisco Talos, około 25% śledzonych podatności pochodzi z 2024 roku lub wcześniejszych – stare luki nie znikają, tylko czekają na swojego odkrywcę.

Dla administratorów w Polsce oznacza jasny sygnał: regularne aktualizacje jądra Linuksa nie są opcją, ale koniecznością. Weryfikacja posiadanych systemów i szybkie wdrażanie poprawek stanowią najskuteczniejszą obronę przed tego typu zagrożeniami.