Falha crítica no kernel Linux permite elevação de privilégios para root
Uma vulnerabilidade lógica no subsistema criptográfico do kernel Linux permite que usuários locais sem privilégios elevem seus direitos até o nível root. Identificada como CVE-2026-31431 e apelidada Copy Fail, a falha afeta distribuições lançadas desde 2017. Desenvolvedoras das principais distribuições já distribuem patches para corrigir o problema. A exploração funciona através de um script Python com apenas dez linhas e 732 bytes.
Mecanismo técnico da vulnerabilidade Copy Fail
O bug reside no template authencesn, componente usado em operações de criptografia autenticada. A falha permite que usuários locais escrevam quatro bytes controlados no page cache de qualquer arquivo legível. Essa alteração afeta diretamente o carregamento de binários pelo kernel, criando uma porta de entrada para escalonamento de privilégios.
Saiba mais: Nova atualização do navegador Google Chrome corrige falha crítica e dezenas de riscos de segurança
‼️Copy Fail (CVE-2026-31431) is a Linux privilege escalation bug that lets any local user get root using a 732-byte Python script, and itworks on basically every major Linux distro shipped since 2017.
Website: https://t.co/KsC4XDIdnn
Write-up: https://t.co/ah4C7XtRLZ
GitHub:… pic.twitter.com/EwqDdAxSKb
— Dark Web Informer (@DarkWebInformer) April 29, 2026
O problema originou-se de uma mudança implementada em 2017 no módulo algif_aead. Essa alteração permitiu que páginas do page cache ficassem disponíveis para escrita em determinados cenários de scatterlist. Diferentemente de outras vulnerabilidades clássicas, o Copy Fail não exige condições de corrida para funcionar, simplificando significativamente sua exploração.
Mais sobre o assunto: Google libera update emergencial para Chrome visando corrigir falhas de execução remota de código
Veja Também
Governo federal repassa R$ 5,2 bilhões do PIS/Pasep para nascidos no fim do ano; veja como sacar o abono salarial
Ex-jogador Marcelinho Carioca eleva patrimônio declarado ao TSE para R$ 45 milhões
Resultado da Mega-Sena 3045: Aposta do Paraná garante mais de R$ 260 mil em Foz do Iguaçu
Pesquisadores da Theori identificaram o problema com suporte de ferramentas de varredura baseadas em inteligência artificial. O exploit altera o binário na memória sem acionar mecanismos de detecção baseados em eventos do sistema de arquivos, como inotify. Isso torna a detecção mais complexa em tempo real.
Impacto em ambientes de produção e containerização
- CVE-2026-31431 recebeu nota 7,8 de 10, classificada como alta gravidade.
- Exploração funciona em ambientes multi-tenant e containers com kernel compartilhado.
- Page cache compartilhado no host permite potencial escape de containers Kubernetes.
- Não é explorável remotamente de forma isolada, mas amplifica outros vetores de ataque.
Sistemas que executam código não confiável, como runners de CI/CD ou servidores compartilhados, estão mais expostos ao risco. O page cache compartilhado no nível do host representa uma ameaça concreta de escape em ambientes de contêineres. Administradores que gerenciam múltiplos tenants ou workloads de terceiros devem priorizar a atualização imediata do kernel.
No mesmo tema: Pacote de segurança urgente do Android 16 corrige falha crítica em celulares da linha Pixel
Distribuições já oferecem patches corrigidos
Debian, Ubuntu e SUSE já disponibilizaram kernels atualizados com a correção. A Red Hat mudou sua posição inicial de adiamento e agora oferece o patch em sincronia com o ecossistema. Fedora também confirmou a correção em seus repositórios. O rollout dos patches ocorre de forma coordenada entre os principais mantenedores, com Debian e Ubuntu publicando novos kernels com o revert necessário no comportamento in-place do algif_aead.
A comunidade Linux acompanha o processo em listas de discussão e fóruns técnicos. Muitos administradores já iniciaram a aplicação em servidores críticos. A coordenação entre vendors limitou o período de exposição após a divulgação responsável da falha.
Medidas de mitigação temporária
Uma medida temporária consiste em desabilitar o módulo algif_aead, impedindo o carregamento do componente vulnerável na maioria dos cenários. Administradores podem criar o arquivo /etc/modprobe.d/disable-algif.conf com o conteúdo install algif_aead /bin/false. Após isso, devem executar rmmod algif_aead para remover o módulo caso esteja carregado.
Essa configuração pode afetar aplicações que dependem explicitamente do módulo de criptografia. Testes em ambientes de staging são recomendados antes da aplicação em produção. Atualizações oficiais permanecem a solução definitiva e mais segura para resolver completamente a vulnerabilidade.
Mais sobre o assunto: Atualização do Chrome bloqueia brechas que permitem controle remoto de dispositivos por invasores
Contexto de descoberta e perspectivas futuras
O Copy Fail se assemelha a falhas históricas como Dirty Cow e Dirty Pipe, mas se destaca pela simplicidade de exploração e amplitude de alcance. O aumento recente de relatórios de vulnerabilidades tem relação direta com o uso de ferramentas de inteligência artificial na caça a bugs. Pesquisadores estimam que a maioria das instalações ativas desde 2017 requer atenção imediata para manter a segurança operacional.
