Puede que tu servidor, contenedor o estación de trabajo Linux esté en peligro por un fallo de nueve años que un investigador descubrió con IA. La vulnerabilidad lleva una semana siendo pública y el parche, a pesar de existir, no está en todas partes.
La semana pasada, el mundo de la seguridad informática recibió un golpe severo: la revelación pública del exploit para CVE-2026-31431, apodada CopyFail. Se trata de una vulnerabilidad de escalada local de privilegios que ha estado escondida en el kernel de Linux desde 2017 y que, si se aprovecha, otorga al atacante acceso privilegiado de root. Aquí está la parte aterradora: un solo script de Python funciona sin modificaciones en múltiples distribuciones de Linux.
«…un atacante que ya tenga alguna forma de ejecutar código en la máquina, incluso como el usuario no privilegiado más aburrido, puede promocionarse a root. Desde allí puede leer cada archivo, instalar puertas traseras, vigilar cada proceso y pivotar a otros sistemas», explicó el investigador Jorijn Schrijvershof.
El Fallo que Rompió el Modelo de Seguridad
CopyFail es un error lógico en la plantilla criptográfica authencesn del kernel. Lo que permite es que un usuario local sin privilegios desencadene una escritura determinista y controlada de cuatro bytes en la caché de página de cualquier archivo legible del sistema. Esta operación es la llave que abre la puerta para tomar el control total.
Este fallo es especialmente grave en entornos de múltiples usuarios, como servidores multi-tenant, clústeres de contenedores (Kubernetes, Docker, etc.) y sistemas de integración continua (CI/CD). En pocas palabras, es el sueño de un atacante en la nube y la pesadilla de un administrador de sistemas.
Una IA Encontró lo que Nadie Vió Durante una Década
La historia detrás del descubrimiento es tan impactante como la vulnerabilidad misma. Taeyang Lee, investigador de la firma de seguridad ofensiva Theori, encontró este bug de nueve años utilizando Xint Code, una herramienta de análisis de código fuente impulsada por IA que forma parte de su plataforma de pruebas de penetración, Xint.io.
Lee informó del descubrimiento al equipo de seguridad del kernel de Linux el 23 de marzo. Ellos asignaron el CVE el 22 de abril, y el exploit se hizo público el 29 de abril. Pero hay un problema crítico…
El Parche Existe, pero la Amenaza es Real y Presente
El equipo de seguridad del kernel aplicó parches en varias ramas (incluidas las versiones 7.0, 6.19.12, 6.18.12, 6.12.85, 6.6.137, 6.1.170, 5.15.204 y 5.10.254). La solución revierte una optimización para las operaciones Authenticated Encryption with Associated Data (AEAD) que se añadió en 2017. La recomendación explícita es:
«Actualiza el paquete del kernel de tu distribución a una versión que incluya el commit
a664bf3d603dde la rama principal».
Las distribuciones más importantes como Debian, Ubuntu, SUSE y Red Hat ya proporcionan este parche. El problema es que el exploit se publicó antes de que muchos sistemas tuvieran la oportunidad de aplicar la actualización. Según informó Ars Technica, pocas distribuciones habían incorporado los parches cuando apareció el exploit.
¿Está Tu Sistema en Peligro?
El exploit de prueba de concepto publicado demuestra un funcionamiento fiable en Ubuntu 22.04, Amazon Linux 2023, SUSE 15.6 y Debian 12. Para explotarlo, un atacante necesitaría acceso físico o lógico a la máquina con una cuenta de usuario local normal. No se requieren funciones de depuración especiales del kernel ni acceso a la red.
La calificación de gravedad CVSS es de 7.8 (Alta). Si administras sistemas basados en Linux, especialmente en entornos compartidos o en la nube, la acción es clara e inmediata: verificar e instalar las actualizaciones del kernel de tu distribución. La amenaza ya no es teórica; el código está en la red y el parche debe estar en tus máquinas.









