Двадцать девятого апреля 2026 года команда исследователей из южнокорейской компании Theori опубликовала отчёт, который заставил администраторов серверов по всему миру отложить чашку утреннего кофе и срочно открыть консоль. В ядре Linux нашли логическую дыру, получившую красивое имя Copy Fail и сухой идентификатор CVE-2026-31431. Особенность этой истории не столько в самом баге, сколько в том, как его обнаружили. На сканирование одного подсистемы ядра и поиск критической ошибки ушло около часа машинного времени и одна команда оператора.
Что именно сломано в криптографической подсистеме ядра и почему это так серьёзно
Уязвимость затрагивает модуль algif_aead, входящий в семейство интерфейсов AF_ALG. Через этот интерфейс пользовательские программы обращаются к криптографическим функциям ядра, чтобы шифровать и расшифровывать данные с аппаратным ускорением. Ошибка кроется в шаблоне authencesn и связана с тем, как подсистема обрабатывает память во время операций "на месте". В результате непривилегированный локальный пользователь получает возможность сделать контролируемую запись четырёх байт прямо в страничный кэш операционной системы.
Звучит безобидно, но за этой технической формулировкой скрывается серьёзная проблема. Страничный кэш хранит копии исполняемых файлов, которые система использует при запуске программ. Если злоумышленник может изменить четыре байта в копии бинарника, обладающего правами setuid (а такие права есть у утилит вроде su), то при следующем запуске этой программы привилегированный процесс выполнит уже изменённый код. Дальше схема понятна. Доступ root, полный контроль над машиной, любые сценарии последующей атаки.
Любопытная деталь, отличающая Copy Fail от знаменитых предшественников вроде Dirty Cow или Dirty Pipe. Та ошибка детерминирована, никаких гонок состояний и капризного выбора момента. Она срабатывает с первого раза, на любой архитектуре, под любым дистрибутивом. Один и тот же скрипт без модификаций даёт root на Ubuntu, Red Hat, SUSE и Amazon Linux. Размер этого скрипта потрясает воображение исследователей. Всего 732 байта на чистом Python с использованием стандартной библиотеки. Никаких компилируемых пейлоадов, никаких сторонних зависимостей.
Под удар попали все основные дистрибутивы Linux выпущенные после 2017 года
Масштаб затронутых систем огромен. Уязвимы все ядра Linux версий от 4.14 до 6.19.12 включительно. Это значит, что любая машина, ядро которой собрано после 2017 года, потенциально под угрозой. Ubuntu 26.04 Resolute и более свежие сборки уже содержат исправление, остальные версии требуют срочного обновления или временной защитной меры. По оценкам Microsoft, проблема затрагивает значительную часть облачных нагрузок и миллионы кластеров Kubernetes.
Особенно болезненно ситуация выглядит для контейнерной инфраструктуры. Если злоумышленник получил возможность выполнить код внутри контейнера, например через скомпрометированный CI-конвейер или уязвимое веб-приложение, то Copy Fail превращается в готовый инструмент для побега из контейнера на хост. Привычная архитектура с разделением приложений по namespaces в одном общем ядре больше не выглядит безопасной по умолчанию. Контейнеры никогда и не задумывались как граница безопасности, но эта оговорка раньше казалась теоретической. Теперь она стала практической.
Производители отреагировали с разной скоростью. Arch Linux, Fedora и Amazon Linux успели подготовить патчи к моменту публичного раскрытия. SUSE, Red Hat и Ubuntu выпустили рекомендации по митигации в течение суток. Cloudflare сообщила, что её инфраструктура на собственной сборке ядра LTS оказалась защищена ещё до публикации, поскольку нужное исправление попало в стабильные ветки несколькими неделями ранее. Большинство же системных администраторов узнали о проблеме одновременно с появлением рабочего эксплойта в открытом доступе. Пятинедельный период координированного раскрытия для крупных поставщиков всё равно оказался тесноват.
Временный обход проблемы доступен каждому администратору и решает вопрос за пару команд
Пока не подоспели обновления ядра, специалисты по безопасности рекомендуют отключить уязвимый модуль вручную. Сделать это можно несколькими способами:
- внести модуль algif_aead в чёрный список через создание файла в /etc/modprobe.d/;
- выгрузить модуль из памяти текущего ядра командой rmmod;
- настроить seccomp-профиль, блокирующий создание сокетов AF_ALG для недоверенных процессов;
- использовать политики SELinux или AppArmor для ограничения доступа к семейству AF_ALG только тем сервисам, которым он реально нужен.
Хорошая новость для большинства пользователей: отключение модуля не сломает ничего важного. Шифрование диска через LUKS, kTLS, IPsec, SSH, OpenSSL, GnuTLS и NSS работают через другие механизмы и не используют algif_aead. Пострадать могут только узкоспециализированные приложения, явно настроенные на использование engine afalg или напрямую открывающие aead-сокеты. Проверить, есть ли в системе процессы, держащие AF_ALG-сокеты, можно командой lsof с фильтром по AF_ALG.
Главная история здесь не про баг, а про инструмент которым его нашли
Theori - не безымянный стартап в поисках хайпа. Это одна из сильнейших команд наступательной безопасности в мире. Под названием MMM в составе с университетскими коллективами они девять раз выигрывали финал DEF CON CTF, главного хакерского турнира планеты. В финале DARPA AI Cyber Challenge заняли третье место. Когда такая команда сообщает, что нашла критическую дыру в ядре Linux за час работы автоматизированной системы и одну фразу промпта, отрасль слушает внимательно.
Система называется Xint Code и представляет собой ИИ-сканер для поиска уязвимостей. Принцип её работы напоминает работу опытного аудитора, только в десятки раз быстрее. Один оператор задаёт направление поиска, остальное делает машина. Никакой ручной разметки фаззинговых харнессов, никаких многомесячных аудитов. Подсистема crypto/ ядра Linux, час времени, готовый отчёт с подтверждением эксплуатируемости.
Это меняет арифметику безопасности фундаментально. Раньше считалось, что поиск ошибок ядерного уровня - дело трудоёмкое и дорогое, поэтому количество новых багов ограничено числом квалифицированных исследователей в мире. Copy Fail показывает, что эта аксиома больше не работает. Если автоматизированный инструмент находит критическую логическую ошибку за час, значит таких ошибок в зрелом коде гораздо больше, чем казалось, и темп их обнаружения будет только расти.
Двойственная природа открытия делает индустрию одновременно сильнее и уязвимее
Сообщество исследователей встретило новость со смешанными чувствами. С одной стороны, такие инструменты позволяют ускорить поиск и закрытие дыр в проектах с открытым кодом, до которых раньше у малочисленных команд аудиторов просто не доходили руки. С другой стороны, кривая обучения для использования серьёзного сканера уязвимостей становится почти такой же пологой, как кривая чтения его отчётов. Это означает, что барьер входа для атакующей стороны снижается одновременно с барьером для защищающей. Кто из них успеет первым прийти к новому открытию, во многом зависит от того, как быстро организации внедрят аналогичные инструменты в собственные пайплайны разработки.
Bugcrowd, одна из крупнейших платформ программ вознаграждений за уязвимости, уже фиксирует поток отчётов нового типа. Сотрудники называют это явление сложным словом sloptimism, обозначающим поток правдоподобно выглядящих, но непроверенных эксплойтов. Без работающего PoC любой такой отчёт остаётся шумом. Зато с подтверждённым PoC любой отчёт становится действенным, и фронт работы команд реагирования вырастает в разы. Каждой компании, которая выпускает программное обеспечение, теперь нужна отлаженная воронка координированного раскрытия, способная переварить возросший поток заслуживающих доверия сообщений от расширившегося круга авторов.
Как меняется ландшафт корпоративной безопасности после Copy Fail и что делать прямо сейчас
Вывод для технических руководителей сформулирован коротко и жёстко. Если защита периметра построена на изоляции через namespaces одного общего ядра, модель угроз требует пересмотра. Граница безопасности должна проходить как минимум по аппаратной виртуальной машине, а лучше по физическому хосту. Любое RCE внутри контейнера теперь следует считать потенциальной компрометацией всего узла и закладывать в плеи быстрое пересоздание скомпрометированных нод.
Внутреннее тестирование собственного кода адверсарными методами перестаёт быть факультативной хорошей практикой и становится требованием выживания. Если автоматизированные сканеры находят чужие баги быстро, разумно направить аналогичные инструменты на свой код раньше, чем это сделает кто-то посторонний. Программы вознаграждений и каналы раскрытия теперь работают под повышенной нагрузкой. К этому надо быть готовым организационно, а не только технически.
История Copy Fail запомнится не очередным CVE с громким именем, а датой, когда зафиксированный публично прецедент изменил соотношение сил между нападающими и защитниками. Ядро Linux восемь лет хранило в своём криптографическом интерфейсе ошибку, которую тысячи глаз не заметили. ИИ-сканер заметил за час. Дальше будет интереснее, и это касается каждого, кто запускает что-то на стеке с открытым кодом.
Канал сайта в Telegram
Канал сайта на YouTube