Bug CVE-2026-31431 concede privilégios de root em quase todas as distribuições Linux

Uma nova falha crítica de segurança, chamada Copy Fail (CVE-2026-31431), foi identificada e afeta praticamente todas as distribuições Linux lançadas desde 2017. Essa vulnerabilidade permite que usuários comuns consigam privilégios de root de forma simples e automatizada.

### O Exploit que Fica Fora do Radar

O que torna o Copy Fail especialmente preocupante é não apenas a sua abrangência, mas também a maneira como atua sem ser detectado por ferramentas de monitoramento tradicionais. Um engenheiro de DevOps explicou que a corrupção ocorre no page cache sem marcar a página como suja. Assim, o mecanismo de writeback do kernel não grava os bytes alterados de volta ao disco. Como resultado, ferramentas como AIDE, Tripwire e OSSEC, que comparam checksums em disco, não conseguem identificar a modificação. Para ambientes corporativos que dependem dessas soluções como linha de defesa, isso representa um grande desafio.

O vetor de ataque envolve o subsistema de criptografia do Linux e a forma como a syscall splice() pode entregar referências do page cache de arquivos somente-leitura, incluindo binários setuid, para as scatterlists de transmissão de criptografia. Em resumo, o exploit tira proveito de uma interação entre primitivas legítimas do kernel para conseguir escrita indireta em áreas que deveriam estar protegidas para usuários sem privilégios.

### Inteligência Artificial em Ação

Um detalhe interessante sobre essa descoberta está associado ao uso de inteligência artificial. Um pesquisador conduziu uma varredura automatizada no subsistema crypto/ do kernel utilizando a ferramenta de análise de código Xint Code AI. Com um direcionamento para examinar todos os caminhos de código acessíveis via syscalls de userspace, a IA identificou várias vulnerabilidades, incluindo o Copy Fail, em aproximadamente uma hora. Essa não é a primeira vez que ferramentas assistidas por IA encontram falhas críticas em códigos de baixo nível, mas a rapidez e a profundidade da descoberta indicam uma tendência crescente que equipes de segurança ofensiva já estão explorando.

### Correções em Andamento

Uma correção para essa vulnerabilidade foi integrada ao kernel Linux principal em 1º de abril. Contudo, os detalhes do exploit foram divulgados antes que todas as distribuições afetadas pudessem disponibilizar suas próprias correções. Algumas distribuições, como Arch Linux, Red Hat Fedora e Amazon Linux, já liberaram as atualizações. Entretanto, muitas outras ainda não tinham a correção disponível no momento da divulgação, o que deixa uma parte significativa do parque instalado vulnerável.