【 資安警訊 】- Linux 系統核心存在高風險漏洞 Copy Fail，本機使用者能藉此奪取 root 權限，廣泛影響多個主流 Linux 版本
發布編號：OIS-CTI-2026-05-001
情資來源：iThome
事件類型：漏洞警訊公告
內容說明：
資安廠商 Theori 本週揭露 Linux 高風險漏洞 Copy Fail，從 2017 年至今的多個主流 Linux 版本均受到影響。
圖片來源：iThome
前幾天，有個存在 Linux 系統核心長達 9 年的高風險漏洞 CVE-2026-31431 被揭露，由資安廠商Theori 公開這個嚴重性評分為 7.8 分弱點，將其命名為 Copy Fail，並特別設立專屬網站說明問題的成因與影響範圍，同時提供概念驗證程式，促使大家盡快因應迫切的危機。根據資安廠商Sysdig 的整理，以系統核心而言，受此漏洞影響的版本，包含：4.14 到 7.0-rc 版、6.18.22 之前的 6.18.x 版、6.19.12 之前的 6.19.x 版，換言之，已修補的版本為 7.0 版、6.19.12 版、6.18.22版。
Theori 表示，Copy Fail 是個邏輯臭蟲，存在 Linux 系統核心的密碼學範本 authencesn，不需觸發競態條件的時間空檔（race window）或系統核心層面的偏移（kernel-specific offset），也不需網路存取、系統核心除錯功能、預先安裝指令，即可在 Linux 系統達到本機存取權限提升（Local Privilege Escalation，LPE）的目的——允許未取得權限的本機使用者，觸發長度為 4 個位元組的受控資料寫入動作，寫入的目標是系統中任何可讀取檔案的分頁快取（Page Cache），而且，透過一段長度為 732 個位元組的 Python 指令碼，可針對套用 setuid 權限位元的二進位執行檔（setuid binary，例如/usr/bin/passwd或/usr/bin/su）進行編輯，藉此在 Linux 系統獲得 root權限。
值得注意的是，上述發現得力於 AI 輔助。來源是 Theori 的研究員 Taeyang Lee 的一項研究，當中發現 splice() 將分頁快取傳遞給 crypto/ 子系統，以及 scatterlist 分頁的來源可能是一個未深入調查的程式臭蟲類別，後續 Theori 採用自家的 AI 資安工具 Xint Code，大約在 1 個小時內完成稽核整個 crypto/ 子系統的規模擴展，結果顯示 Copy Fail 是處理過程發現的最嚴重漏洞。
基本上，這個問題影響的範圍非常廣泛，涵蓋 2017 年以後發行的所有 Linux 版本，因為都預設搭配 Kernel Crypto API（使用者空間的存取介面為 AF_ALG），目前 Theori 展示可濫用 Copy Fail漏洞的四個版本：Ubuntu 24.04 LTS、Amazon Linux 2023、RHEL 10.1、SUSE 16。
除此之外，多個 Linux 版本均已發布相關資安公告，包括：Amazon Linux、Arch Linux、CloudLinux、Debian、Gentoo、Red Hat Enterprise Linux、SUSE、Ubuntu。
影響平台：
受此漏洞影響的版本包含：
4.14 到 7.0-rc 版、
6.18.22 之前的 6.18.x 版
6.19.12 之前的 6.19.x 版
建議措施：
強烈建議已修補的版本為 7.0 版、6.19.12 版、6.18.22版。
參考連結 ：