Luka CopyFail w jądrze Linuksa. Administratorzy muszą pilnie zaktualizować systemy

„Ujawniono atak na wszystkie Linuksy wydane po 2017 roku. W sieci pojawił się też kod exploita” – informuje serwis Niebezpiecznik, powołując się na doniesienia badaczy bezpieczeństwa. Luka, oznaczona jako CVE-2026-31431 i nazwana CopyFail, pozwala osobie mającej lokalny dostęp do systemu na uzyskanie pełnych praw administratora (root). To poważne zagrożenie – szczególnie w środowiskach, gdzie na jednej maszynie pracuje wielu użytkowników lub uruchamiane są kontenery.

Czym jest CopyFail i dlaczego jest groźny

Zgodnie z analizą firmy Theori, którą przytacza SecurityWeek, CopyFail to błąd logiczny w jądrze Linuksa. Dotyczy mechanizmu uwierzytelniania kryptograficznego (authencesn) używanego przez IPsec. W skrócie: optymalizacja wprowadzona w 2017 roku spowodowała, że strony pamięci podręcznej (page cache) zostały umieszczone w zapisywalnej liście rozproszeń (scatterlist). Atakujący może wykorzystać tę lukę, aby nadpisać cztery bajty kodu w pamięci dowolnego pliku setuid-root, który ma prawo odczytać.

Efekt jest natychmiastowy – osoba działająca z poziomu zwykłego użytkownika może w prosty sposób podnieść swoje uprawnienia do roota. Jak podkreśla Theori, udany atak wymaga jedynie lokalnego dostępu do powłoki, a cały proces można wykonać za pomocą krótkiego skryptu. Ważne: zmiany zachodzą wyłącznie w pamięci operacyjnej, plik na dysku pozostaje nietknięty, co utrudnia wykrycie włamania.

„Copy Fail pozwala atakującemu z lokalnymi uprawnieniami do wykonania kodu na modyfikację kopii w pamięci dowolnego pliku setuid-root, który użytkownik może odczytać, co prowadzi do uzyskania dostępu do powłoki roota.” – Theori, cytowane przez SecurityWeek.

Kto jest zagrożony i jakie są skutki

Podatność ma przypisany wynik CVSS 7.8, co oznacza wysokie ryzyko. Praktycznie każda dystrybucja Linuksa wydana po 2017 roku jest narażona. Oznacza to, że luka obejmuje zarówno serwery produkcyjne, jak i stacje robocze, a także środowiska chmurowe.

Zwłaszcza narażone są:

• środowiska wielodostępne (hosting, serwery VPS),
• kontenery współdzielące jądro z hostem (np. Kubernetes, Docker bez odpowiedniej izolacji),
• systemy CI/CD uruchamiający nieufny kod,
• piaskownice (sandboxy) oparte na standardowym jądrze Linuksa.

Badacze z Theori ostrzegają, że pamięć podręczna stron jest współdzielona między kontenerami, co oznacza, że udany atak z jednego kontenera może doprowadzić do przejęcia całego węzła i naruszenia izolacji między dzierżawcami (cross-tenant compromise).

Jak się chronić – kroki do natychmiastowego wdrożenia

Najważniejsze działanie to aktualizacja jądra systemu. Łata znajduje się w głównej gałęzi (mainline) jądra od 1 kwietnia 2026 (commit a664bf3d603d). Administratorzy powinni niezwłocznie sprawdzić dostępność aktualizacji dla swoich dystrybucji i wgrać ją.

Jeśli natychmiastowa aktualizacja nie jest możliwa, można tymczasowo wyłączyć podatny moduł algif_aead. Aby to zrobić, należy wykonać polecenia:

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead 2>/dev/null || true

Eksperci z Niebezpiecznika przestrzegają również przed bezmyślnym kopiowaniem i uruchamianiem skryptów znalezionych w internecie – nawet jeśli pochodzą one z zaufanego źródła, istnieje ryzyko, że strona może serwować inny kod w zależności od klienta (tzw. User-Agent cloaking).

Co dalej

CopyFail to kolejny przypadek, gdy optymalizacja w jądrze – mająca na celu poprawę wydajności – wprowadziła poważną lukę bezpieczeństwa. To dobra okazja, aby przypomnieć o znaczeniu segmentacji środowisk, regularnych aktualizacji i ograniczania uprawnień użytkowników. Administratorzy powinni śledzić biuletyny bezpieczeństwa swoich dystrybucji i nie zwlekać z wdrożeniem łatki. W środowiskach, gdzie nie można zaktualizować jądra, warto rozważyć zastosowanie dodatkowych warstw izolacji, takich jak maszyny wirtualne zamiast kontenerów.