Một lỗ hổng bảo mật mang tên Copy Fail (CVE-2026-31431) vừa được công bố, ảnh hưởng đến gần như mọi bản phân phối Linux phát hành từ năm 2017 đến nay. Điểm đặc biệt là kẻ tấn công chỉ cần một tài khoản người dùng local, không cần quyền đặc biệt, không cần network, và không cần biết trước bất kỳ thông số kernel nào. Chỉ với một script Python dài 732 byte, hacker có thể leo thang lên quyền root ngay lập tức.
Lỗ hổng này hoạt động thế nào?
Copy Fail khai thác một lỗi logic trong hàm authencesn của kernel Linux, thông qua các API AF_ALG và splice(). Bình thường, module này tối ưu hóa việc ghi dữ liệu vào page cache, nhưng do một thay đổi từ năm 2017, nó vô tình cho phép ghi vào các trang page cache mà lẽ ra không được phép. Kết quả là kẻ tấn công có thể ghi đè lên các file nhị phân setuid (ví dụ /usr/bin/su) để giành quyền root.
Tại sao người dùng thông thường nên quan tâm?
Nếu bạn dùng Linux trên desktop, máy chủ, hoặc dịch vụ đám mây (shared hosting, CI/CD runner), bạn có thể là mục tiêu. Lỗ hổng này đặc biệt nguy hiểm ở những môi trường nhiều người dùng chung một kernel: máy chủ phát triển, shell-as-a-service, GitHub Actions self-hosted runner, hay thậm chí các container trên cùng một node. Khi một pod bị xâm nhập, kẻ tấn công có thể vượt qua ranh giới tenant để kiểm soát toàn bộ hệ thống.
Cách khắc phục ngay lập tức
Bản vá chính thức đã được phát hành trong mainline kernel (commit a664bf3d603d). Các bản phân phối lớn như Ubuntu, Debian, Fedora, Arch, Rocky Linux, AlmaLinux, Oracle Linux đã hoặc đang phát hành bản cập nhật. Trong khi chờ patch, bạn có thể tạm thời vô hiệu hóa module algif_aead bằng lệnh: echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf; rmmod algif_aead. Hành động này không ảnh hưởng đến hầu hết ứng dụng thông thường, ngoại trừ một số tác vụ mã hóa phần cứng đặc thù.
Đây là lời nhắc nhở rằng ngay cả một dòng code sai lầm cũng có thể tồn tại gần một thập kỷ trong lõi hệ điều hành phổ biến nhất thế giới. Hãy cập nhật kernel ngay hôm nay. Xem thêm chi tiết tại công nghệ và AI.
