Copy Fail: a vulnerabilidade crítica do kernel Linux (CVE-2026-31431) já explorada que poderia dar acesso root e quebrar o isolamento em contentores

A Agência de Segurança de Infra-estruturas e Cibersegurança dos EUA. EUA. ( CISA) incluiu em seu catálogo Known Exploited Vulnerabilities (KEV) uma vulnerabilidade crítica recentemente divulgada no núcleo Linux, registrada como CVE‐2026‐31431(CVSS 7.8), após investigadores e empresas de segurança apresentarem provas de exploração ativa. Trata-se de uma falha de elevação de privilégios locais (LPE) apodado "Copy Fail", que permite a um usuário sem privilégios conseguir acesso root manipulando a cache de páginas em memória do kernel; os adesivos que corrigem o problema já foram integrados nos ramos do kernel assinalados pelos mantenedores, incluindo as versões 6.18.22, 6.19.12 e 7.0.

Em termos técnicos, o erro é uma corrupção controlada do page cache, que afeta a forma como o kernel copia recursos entre “esferas” internas do subsistema criptográfico (AF_ALG). Ao corromper os 'bytes' concretos na 'cache' de um executável em memória - sem tocar no disco - um atacante pode injetar instruções em binários privilegiados setuid (por exemplo /usr/bin/su) e obter execução com UID 0. Os autores do relatório explicam que o bug surge de três mudanças aparentemente inocuos introduzidas em 2011, 2015 e 2017, pelo que a falha está presente em kernels distribuídos desde então e é explorável de forma confiável com um PoC muito compacto em Python (além de implementações detectadas em Go e Rust).

A disponibilidade pública de um PoC e a natureza local do vetor fazem com que o risco seja particularmente alto em ambientes onde se pode encadear um acesso inicial: uma conta SSH comprometida, um job de CI malicioso, ou uma fuga dentro de um recipiente podem servir como ponto de partida. Empresas de segurança alertam que a detecção é complexa porque a exploração usa chamadas de sistema legítimas, o que dificulta distinguir atividade maliciosa de comportamento normal. O cenário mais perigoso é o de ambientes em nuvem e contêineres, onde Docker, LXC ou Kubernetes podem expor o subsistema AF_ALG no host se o módulo algif_aead estiver carregado, o que reduz barreiras e permite quebrar o isolamento de contêineres para comprometer o host físico.

Diante desse cenário real, a prioridade número um para administradores e responsáveis pela segurança deve ser sistema transdérmico o mais rapidamente. A CISA marcou esta vulnerabilidade como explorada e recomendou a aplicação das actualizações dos fornecedores; além disso, as agências federais dos EUA receberam uma data-limite interna (May 15, 2026) para mitigar o risco. Você pode consultar a inclusão no catálogo KEV e os avisos oficiais na página da CISA: https://www.cisa.gov/known-exploited-vulnerabilities-catalog, e rever a entrada registada no MITRE para mais contexto técnico: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-31431.

Se não for possível atualizar imediatamente, existem medidas compensatórias que reduzem a superfície de exposição: evitar que o host carregue o módulo algif_aead (por exemplo, baixar ou bloquear a sua carga com políticas de módulos), isolar sistemas com controle de acesso à rede e segmentação para minimizar portas de entrada exploráveis, revisar permissões e acesso SSH, e endurecer configurações de contêineres (evitar privilégios elevados, usar perfis seccomp/SELinux/AppArmor e negar acesso direto a subsistemas kernel não necessários). Note que as soluções de integridade de arquivos tradicionais podem não detectar essa técnica porque o executável nunca é modificado em disco; por isso, prevenção e adesivo São mais fiáveis do que a detecção posterior.

Também é conveniente reforçar a telemetria e a resposta: ativar e rever logs de auditoria, monitorizar processos que mudam para UID 0, desenvolver capacidades EDR/NGAV que correlacionem anomalias locais e preparar playbooks de contenção para incidentes que impliquem escalada de privilégios em hosts ou nodos de orquestração. Os equipamentos que gerem imagens de contêineres devem regenerar e usar imagens sobre núcleos adesivos e rever pipelines de CI para evitar execuções não confiáveis que possam atuar como ponto inicial de exploração.

O alcance desta vulnerabilidade, sua simplicidade de exploração com um PoC disponível e seu impacto potencial em ambientes multiutilizados e cloud fazem que não seja uma ameaça teórica: Se a sua infra-estrutura usar o Linux (especialmente em contentores ou sistemas partilhados), deve agir já. Para verificar se a sua organização dispõe de adesivos ou mitigações aplicadas, consulte as políticas e newsletters do seu distribuidor e verifique a versão do kernel nos hosts afetados; a página oficial do kernel e os repositórios da sua distribuição são pontos de partida práticos: https://www.kernel.org.