„Copy Fail" (CVE-2026-31431): Kritische Linux-Kernel-Lücke erlaubt Root-Rechte
Die gute Nachricht vorweg: Auf allen von webhostone betreuten Systemen ist die Lücke bereits automatisiert geschlossen. Für unsere Managed-Hosting-Kunden besteht kein Handlungsbedarf.
Was steckt hinter „Copy Fail"?
Die Schwachstelle liegt im Krypto-Subsystem des Linux-Kernels, genauer in der Schnittstelle algif_aead. Dort führt eine fehlerhafte „In-Place-Operation" dazu, dass sich unter bestimmten Bedingungen wenige Bytes gezielt in einen geschützten Speicherbereich (den Page Cache) schreiben lassen. Angreifer können damit vertrauenswürdige Systemprogramme wie /usr/bin/su manipulieren und sich so Root-Rechte verschaffen. kernel.org stuft die Lücke mit einem CVSS-Score von 7.8 als hoch ein.
Wer ist betroffen – und wer nicht?
Wichtig zur Einordnung: „Copy Fail" ist keine aus dem Internet ausnutzbare Lücke. Ein Angreifer benötigt zunächst ein reguläres Benutzerkonto auf dem System – etwa über einen SSH-Zugang. Erst von dort aus lässt sich die Schwachstelle für eine sogenannte lokale Rechteausweitung („Privilege Escalation") nutzen.
Genau deshalb ist die Lücke vor allem in Umgebungen mit vielen Nutzern kritisch: Shared-Hosting-Server, Terminal-Server oder Container-Setups, auf denen sich mehrere Konten ein System teilen. Auf Systemen mit aktivem SELinux im „enforcing"-Modus ist die Schwachstelle nicht ausnutzbar; ein Update sollte dort dennoch eingespielt werden.
Was das für unsere Kunden bedeutet
Für Umgebungen wie unsere ist eine solche Lücke besonders relevant – und genau darauf sind wir vorbereitet. Sicherheitsrelevante Kernel-Updates spielen wir auf den betreuten Systemen zeitnah und automatisiert ein. „Copy Fail" wurde entsprechend bereits geschlossen. Unsere Kunden mussten nichts tun und sich zu keinem Zeitpunkt Sorgen machen.
Konkrete Schritte für Systeme außerhalb unseres Hostings
Betreiben Sie eigene Linux-Systeme, empfehlen wir folgendes Vorgehen:
- Kernel-Update einspielen. Sobald Ihre Distribution einen gepatchten Kernel bereitstellt, sollten Sie ihn umgehend installieren. Beachten Sie: Nach einem Kernel-Update ist ein Neustart des Systems erforderlich.
- Übergangsweise absichern. Ist noch kein Update verfügbar, kann als Mitigation das Kernel-Modul algif_aead deaktiviert bzw. blockiert werden. Bei Distributionen wie RHEL, AlmaLinux oder Rocky Linux ist die Funktion fest in den Kernel kompiliert – hier muss stattdessen über GRUB gearbeitet werden. Prüfen Sie mögliche Nebenwirkungen (z. B. für LUKS-verschlüsselte Systeme) und folgen Sie den offiziellen Hinweisen Ihrer Distribution.
- Zugänge einschränken. Lässt sich weder patchen noch entschärfen, sollten Sie den Zugang zum System – insbesondere per SSH – strikt begrenzen und ungewöhnliche Aktivitäten verstärkt überwachen.
Offizielle Informationen und Sicherheitshinweise stellen die Distributionen bereit (u. a. Debian, Ubuntu, Red Hat, SUSE, Arch) sowie der NVD-Eintrag zu CVE-2026-31431.
Fazit
„Copy Fail" zeigt einmal mehr, warum professionelle Betreuung den Unterschied macht: Wo eigene Systeme erst auf Updates warten müssen, sind gemanagte Umgebungen längst geschützt. Mit Managed Hosting bei webhostone kümmern wir uns um sicherheitsrelevante Updates – automatisiert, zuverlässig und bevor es kritisch wird. Sicher gehostet ist eben entspannter.
