Luka Copy Fail w jądrze Linuksa daje zwykłemu użytkownikowi uprawnienia administratora i pozwala wyjść z kontenera. Kod ataku jest publiczny, CISA potwierdza wykorzystanie. Zablokuj moduł i zaktualizuj jądro.
Ten alert jest dla zarządu, CTO i CFO firm, które mają serwery z Linuksem: własne, wynajęte u dostawcy hostingu, w chmurze albo w postaci kontenerów i klastrów Kubernetes. Werdykt: zaktualizuj jądro Linuksa do wersji z poprawką, a jeśli restart musi poczekać, zablokuj podatny moduł jeszcze dziś, bo gotowy kod ataku jest publiczny, a CISA potwierdza jego użycie.
Amerykańska agencja CISA 1 maja 2026 roku dopisała CVE-2026-31431 do katalogu KEV, czyli listy podatności, o których ma dowody wykorzystania w prawdziwych atakach. Błąd, nazwany przez badaczy Copy Fail, siedzi w jądrze Linuksa, w module algif_aead udostępniającym programom funkcje szyfrujące. Pozwala zwykłemu użytkownikowi serwera, bez żadnych szczególnych uprawnień, zdobyć pełne uprawnienia administratora (root). Zespół bezpieczeństwa Ubuntu zwraca uwagę, że napastnik może też wydostać się z kontenera.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 15 maja 2026 roku, ponad cztery miesiące temu. CERT Polska ostrzegał przed tą luką już 30 kwietnia 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-31431 (Copy Fail) |
Data dodania do CISA KEV | 2026-05-01 |
Termin naprawy wg CISA | 2026-05-15 |
Produkt | Linux, jądro systemu (Kernel), moduł |
Wersje zagrożone | Wg NVD jądra od 4.14 do wersji sprzed poprawki w każdej linii oraz 7.0-rc1 do 7.0-rc6; CERT/CC wskazuje jądra od 4.17. Red Hat Enterprise Linux 6 i 7 nie zawierają podatnego kodu. Wymagane jest lokalne konto na serwerze (także w kontenerze) |
Wersje bezpieczne | Jądra: 5.10.254, 5.15.204, 6.1.170, 6.6.137, 6.12.85, 6.18.22, 6.19.12 i nowsze w danej linii. Ubuntu: m.in. 6.8.0-117.117 dla 24.04 LTS i 5.15.0-179.189 dla 22.04 LTS. W innych dystrybucjach wersję z poprawką podaje producent dystrybucji |
Typ podatności | Lokalna eskalacja uprawnień; CWE-669 (nieprawidłowe przekazanie zasobu między strefami) |
Ocena CVSS | 7.8 WYSOKA (CVSS 3.1, zgodnie: zespół jądra Linuksa, Red Hat i SUSE). Atak lokalny, wymaga zwykłego konta, bez udziału użytkownika, pełny wpływ na poufność, integralność i dostępność |
Wyobraź sobie hotel, w którym każdy gość ma kartę tylko do swojego pokoju. Recepcja trzyma w szufladzie kopie instrukcji dla obsługi, na przykład „komu wydać klucz uniwersalny”. Oryginały leżą w sejfie. Z powodu błędu w organizacji zwykły gość może dopisać kilka słów na kopii w szufladzie. Obsługa czyta zawsze kopię, więc od tej chwili wydaje mu klucz uniwersalny. Kontrola porównuje oryginały z sejfu z wzorem i raportuje, że wszystko jest w porządku, bo oryginały faktycznie są nietknięte.
Tak działa Copy Fail. Nieuprzywilejowany użytkownik może wpisać cztery wybrane bajty w kopię dowolnego czytelnego pliku, którą system trzyma w pamięci. Jeśli to program systemowy uruchamiany z wysokimi uprawnieniami, zmienia jego działanie i dostaje konto root. Plik na dysku pozostaje nietknięty, więc narzędzia sprawdzające sumy kontrolne plików nic nie wykryją. Według CERT/CC atak działa za pierwszym razem, bez powtarzania prób.
💡 Jądro (kernel) to rdzeń systemu operacyjnego, który zarządza pamięcią, plikami i uprawnieniami. Root to konto administratora, które może wszystko. Lokalna eskalacja uprawnień oznacza, że ktoś, kto już ma jakiekolwiek konto na serwerze, awansuje na administratora. Kontener to wydzielona przegródka dla aplikacji, dzieląca jądro z resztą serwera. Pamięć podręczna stron (page cache) to kopie plików trzymane w pamięci RAM dla szybszego odczytu.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Konto podwykonawcy lub testowe na serwerze | Widzi tylko swoje pliki | Może zostać administratorem całej maszyny |
Włamanie przez dziurawą wtyczkę sąsiedniej strony na hostingu współdzielonym | Napastnik zamknięty w jednym koncie | Napastnik przejmuje serwer i dane wszystkich klientów na nim |
Aplikacja w kontenerze | Odizolowana od reszty systemu | Napastnik może wydostać się z kontenera |
Kontrola integralności plików | Wykrywa podmienione pliki | Nie wykrywa nic, bo zmiana żyje tylko w pamięci |
Restart serwera | Rutynowa operacja | Usuwa podmienioną kopię z pamięci, ale nie usuwa luki bez nowego jądra |
źródło: Pexels, cottonbro studioPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie służy do wejścia z internetu: napastnik musi najpierw mieć jakiekolwiek konto na serwerze lub kod uruchomiony w kontenerze. CERT Polska podkreśla, że gotowy kod ataku jest publicznie dostępny i nie wymaga zaawansowanych umiejętności.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przyczółek | T+0 | Zdobycie zwykłego konta: wyłudzone hasło, błąd w aplikacji internetowej, dziurawa wtyczka na hostingu, złośliwy obraz kontenera | Ograniczony dostęp bez uprawnień |
2. Eskalacja | T+kilka minut | Uruchomienie publicznego kodu wykorzystującego Copy Fail | Konto root na serwerze |
3. Wyjście poza izolację | T+kilkanaście minut | Wydostanie się z kontenera, dostęp do innych kontenerów i danych na tym samym hoście | Kontrola nad całą maszyną lub węzłem klastra |
4. Kradzież i utrwalenie | T+godziny | Kopiowanie baz danych, kluczy i haseł, kasowanie dzienników zdarzeń, zakładanie tylnych furtek | Dane poza firmą, ślady zatarte |
5. Ruch w sieci | T+dni | Użycie skradzionych kluczy do logowania na kolejne serwery | Przejęcie kolejnych systemów |
6. Szantaż | T+tygodnie | Szyfrowanie danych lub groźba publikacji | Przestój i żądanie okupu |
Zwykłe konto na serwerze bywa pierwszym, pozornie drobnym łupem. Copy Fail zamienia taki drobny incydent w przejęcie całej maszyny. Szczególnie narażone są, według CERT Polska, serwery współdzielone, środowiska wielu klientów, klastry Kubernetes, kontenery, serwery budujące oprogramowanie i usługi uruchamiające kod użytkowników.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odbudowa przejętych serwerów, wstrzymanie sprzedaży lub usług na czas przenosin | Godziny do dni od włamania | 30 tys. do 250 tys. PLN (przestój, odbudowa) |
Bezpieczeństwo danych | Dostęp do baz klientów, kluczy i haseł na serwerze, także innych aplikacji na tym samym hoście | Godziny | 30 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Utracona sprzedaż, koszty przeniesienia na dedykowany serwer, ewentualny okup | Tygodnie | 50 tys. do 600 tys. PLN łącznie |
Reputacyjny | Powiadomienie klientów o wycieku, przymusowy reset haseł | Tygodnie do miesięcy | 30 tys. do 300 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla serwera z Linuksem bez poprawki,
z kontami innych osób lub kontenerami
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest wysokie (publiczny kod, EPSS 0,999, potwierdzone ataki), a wpływ wysoki, ale nie maksymalny, bo napastnik potrzebuje najpierw konta na serwerze; na hostingu współdzielonym i w klastrach z obcym kodem ryzyko jest bliskie krytycznemu.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać wszystkie serwery i węzły z Linuksem (także u dostawców) i sprawdzić wersję jądra ( | Dziś | Administrator |
2 | 🔴 NATYCHMIAST | Na serwerach bez poprawki zablokować moduł: dopisać | Dziś | Administrator |
3 | 🔴 NATYCHMIAST | Zapytać dostawcę hostingu na piśmie, czy luka jest załatana, z podaniem wersji jądra | Dziś | CTO |
4 | 🟠 PILNIE | Zainstalować jądro z poprawką i zrestartować serwery | Do 3 dni | Administrator / partner IT |
5 | 🟠 PILNIE | W klastrach i kontenerach zablokować gniazda AF_ALG przez seccomp, AppArmor lub eBPF | Do 3 dni | DevOps |
6 | 🟠 PILNIE | Przejrzeć konta na serwerach i usunąć zbędne (byli podwykonawcy, konta testowe) | Do 7 dni | Administrator |
7 | 🟡 WAŻNIE | Przenieść sklep i systemy z danymi osobowymi z hostingu współdzielonego na dedykowany serwer | Do 30 dni | CTO / CFO |
Poprawki wydano we wszystkich utrzymywanych liniach jądra i w głównych dystrybucjach, więc docelowo trzeba je zainstalować. Do czasu restartu dostępne są środki tymczasowe zalecane przez Canonical, CERT Polska i CERT/CC. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Zablokowanie ładowania i usunięcie modułu | Wysoka, gdy moduł jest ładowalny | Łatwa: dwa polecenia |
Parametr rozruchu | Wysoka | Średnia: wymaga jednego restartu |
Blokada tworzenia gniazd AF_ALG w kontenerach (seccomp, AppArmor, eBPF, zalecenie CERT/CC) | Wysoka dla kontenerów | Średnia: wymaga zmian w politykach klastra |
Usunięcie zbędnych kont i ograniczenie dostępu SSH | Średnia: zmniejsza szansę na przyczółek, nie usuwa luki | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Zwykłe konto na serwerze | Może zostać administratorem w kilka minut | Pozostaje zwykłym kontem |
Izolacja kontenerów | Możliwe wyjście na serwer | Izolacja działa zgodnie z założeniem |
Hosting współdzielony | Bezpieczeństwo zależy od sąsiadów | Potwierdzona poprawka u dostawcy lub dedykowany serwer |
Wykrywalność | Kontrola integralności plików nic nie widzi | Luka zamknięta, więc ten atak nie jest możliwy |
Zgodność z wymogami | Zaległość wobec terminu CISA sprzed ponad 4 miesięcy | Jądro z poprawką udokumentowane dla każdego serwera |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA) |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.8 WYSOKA (CVSS 3.1: zespół jądra Linuksa, Red Hat, SUSE); Red Hat ocenia wagę jako „ważną”, nie krytyczną, ze względu na wymóg dostępu lokalnego |
PoC dostępny publicznie? | TAK, według CERT Polska gotowy kod jest publiczny i nie wymaga zaawansowanych umiejętności |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | 0,999, czyli praktycznie pewność prób wykorzystania (wg analizy źródłowej) |
Zakres wersji | Sporny: NVD wskazuje jądra od 4.14, CERT/CC od 4.17 |
Ocena CVSS mówi, jak dotkliwy jest skutek, ale nie jak często ktoś z luki korzysta. Tutaj ta druga miara jest dla firmy ważniejsza:
Sygnały zagrożenia dla CVE-2026-31431 (Copy Fail)
CVSS 3.1 7.8/10 ████████████████░░░░ WYSOKA
EPSS (próba w 30 dni) 0,999 ████████████████████ praktycznie pewna
CISA KEV TAK ████████████████████ ataki potwierdzone
Publiczny kod ataku TAK ████████████████████ dostępny
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2026-04-22 Publikacja CVE-2026-31431 przez zespół jądra Linuksa i w NVD
2026-04-30 CERT Polska publikuje ostrzeżenie, kod ataku jest publiczny
2026-05-01 CISA dodaje lukę do katalogu KEV (jedyny wpis tego dnia)
2026-05-15 Termin naprawy wg CISA dla agencji federalnych
2026-09-08 Ostatnia aktualizacja wpisu w NVD (status: przeanalizowany)
... ponad 4 miesiące od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Ogłoszenie zespołu jądra Linuksa: lore.kernel.org, CVE-2026-31431 . Opis poprawek w dystrybucjach: xint.io, Copy Fail . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-31431 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać listę serwerów z Linuksem z wersją jądra i informacją, czy jest poprawka | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastowe zablokowanie modułu | CTO | DZISIAJ |
3 | Wysłać do dostawcy hostingu pytanie o poprawkę z prośbą o wersję jądra | CTO | DZISIAJ |
4 | Zatwierdzić okno serwisowe z restartem serwerów | CTO | DO JUTRA |
5 | Sprawdzić, które systemy z danymi osobowymi stoją na hostingu współdzielonym | CTO | DO JUTRA |
6 | Oszacować koszt przeniesienia tych systemów na dedykowany serwer | CFO | DO JUTRA |
7 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd kont i logów coś wykaże | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jakie wersje jądra działają na naszych serwerach i węzłach Kubernetes? | [wersja] | 🔴 |
2 | Czy na serwerach bez poprawki zablokowano moduł | TAK / NIE, [data] | 🔴 |
3 | Czy dostawca hostingu potwierdził na piśmie instalację poprawki? | TAK / NIE, [wersja] | 🔴 |
4 | Kiedy serwery zostały zrestartowane z nowym jądrem? | [data] | 🟠 |
5 | Czy w kontenerach zablokowano gniazda AF_ALG? | TAK / NIE | 🟠 |
6 | Ile kont użytkowników jest na serwerach produkcyjnych i czy wszystkie są potrzebne? | [liczba] | 🟠 |
7 | Czy któryś system z danymi klientów działa na hostingu współdzielonym? | TAK / NIE | 🟡 |
CVE-2026-31431 (Copy Fail) pozwala zwykłemu użytkownikowi serwera z Linuksem zostać administratorem i wyjść z kontenera, nie zostawiając zmian na dysku. Gotowy kod ataku jest publiczny, CISA potwierdza wykorzystanie, a termin naprawy minął 15 maja 2026 roku, więc zablokowanie modułu to zadanie na dziś, a aktualizacja jądra z restartem na najbliższe dni.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.