L'équipe de recherche Theori a divulgué le 29 avril 2026 une vulnérabilité critique du noyau Linux baptisée « Copy Fail » et référencée CVE-2026-31431. Scorée 7.8 sur l'échelle CVSS, elle permet à un simple utilisateur local, sans aucun privilège, d'obtenir un accès root complet. Un point d'autant plus préoccupant : le bug à l'origine de la faille dort dans le noyau depuis 2017.

Un bug de performance devenu faille de sécurité

Copy Fail trouve son origine dans une optimisation de performance introduite en août 2017 dans le sous-système cryptographique du noyau, au niveau de l'interface AF_ALG. En combinant cette API avec la fonction splice(), un attaquant local peut écrire 4 octets contrôlés directement dans le cache de pages de fichiers en lecture seule, y compris des binaires setuid sensibles comme /usr/bin/su.

Quatre octets suffisent : correctement positionnés, ils permettent de modifier le comportement d'un binaire privilégié et d'obtenir un shell root, tout en contournant les outils classiques de vérification d'intégrité de fichiers comme AIDE ou Tripwire.

Qui est concerné

  • Toutes les versions du noyau compilées entre 2017 et la publication du correctif
  • Ubuntu, Amazon Linux, RHEL, SUSE et AlmaLinux, entre autres distributions majeures
  • Tout système multi-utilisateur où un compte local non privilégié peut exécuter du code

Un correctif existe (commit a664bf3d603d, intégré au noyau principal), mais un code de preuve de concept est déjà public, la fenêtre entre divulgation et exploitation active est donc particulièrement courte.

Comment réagir

  • Appliquer en priorité les mises à jour noyau fournies par votre distribution
  • À défaut de correctif immédiat, désactiver le module algif_aead
  • Surveiller vos journaux réseau pour toute requête vers l'URL du PoC public (copy.fail/exp)
  • Vérifier les journaux d'authentification (auth.log) à la recherche d'appels suspects à su

Ce type de vulnérabilité illustre bien pourquoi un audit de configuration ne suffit pas : c'est un bug de logique interne au noyau, invisible pour un scanner de configuration, qui ne se révèle que par une analyse technique approfondie ou un test d'intrusion en environnement réel.