Linuxカーネルの権限昇格の脆弱性CVE-2026-31431の悪用
発見したTheori（Xint）の2026年4月29日の公表によると、Linuxカーネルの論理的な欠陥CVE-2026-31431（通称「Copy Fail」）は競合状態もカーネル固有のオフセットも要らず、同じ732バイトのPythonスクリプトで2017年以降に出た全Linuxディストリビューションのrootを取れる［23］。Red HatとSUSEは、アドバイザリで状態を「Resolved」とした［3、8］。
脆弱性の内容
| 項目 | 値 | 資料 |
|---|---|---|
| CVE | CVE-2026-31431 | ［1］ |
| CVSS 3.1（CISA-ADP、Canonical） | 7.8（HIGH） | ［1、5］ |
| CVSSのベクトル（CISA-ADP） | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H | ［1］ |
| CWE（CISA-ADP） | CWE-669 | ［1］ |
| CWE（Red Hat） | CWE-1288 | ［2］ |
| 重大度（Red Hat） | Important（悪用にローカルのアクセスが要るためCriticalとしない） | ［2］ |
| 重大度（SUSE） | important | ［8］ |
| SSVC（CISA-ADP、2026年4月29日の評価） | Exploitation「active」、Automatable「no」、Technical Impact「total」 | ［1］ |
| 悪用されたときの影響（Red Hat） | 低権限のローカルの攻撃者が重要なシステムファイルの内容を壊し、rootに昇格しうる | ［2］ |
LinuxカーネルのCNAはCVE記録で、修正はコミット72548b093ee3を、関連データ（AD）のコピーを除いておおむね元に戻すものだと説明した［1］。algif_aeadでは送り元と送り先が別のマッピングから来るため、in-placeで動かす利点は無い［1］。
XintのCode Research Teamのブログによると、AF_ALGはカーネルの暗号サブシステムを非特権のユーザー空間に開くソケットの種類である［24］。splice()はファイルディスクリプタとパイプのあいだでデータをコピーせずに移し、ページキャッシュのページを参照のまま渡す［24］。Xintは公表のページで、authencesnの論理バグ1つをAF_ALGとsplice()でつなぎ、ページキャッシュへの4バイトの書き込みにするとした［23］。
Linuxカーネルの文書は、AF_ALGを安全でなく非推奨の仕組みとし、2010年にカーネルに加わったと書いている［41］。Linux v7.3からは、AF_ALGが既定で扱うアルゴリズムが絞られる［41］。
公表のページのFAQでXintは、書き込みはVFSを通らず、書き換わったページはdirtyにならないため、ディスクには何も書かれないと説明した［23］。退避か再起動でキャッシュは元に戻るが、得られるrootシェルは本物である［23］。Xintはブログで、ディスク上のチェックサムを比べる通常の完全性検査のツールでは見逃すと書いた［24］。
悪用の前提
Xintの公表のページでは、必要なのは非特権のローカルユーザーのアカウントだけで、ネットワークのアクセスもカーネルのデバッグ機能も要らない［23］。単独ではリモートから悪用できず、一般ユーザーとしてのローカルのコード実行が要る［23］。Microsoftは、SSHのアクセス、悪意のあるCIジョブの実行、コンテナの足場のような初期の侵入経路と組み合わさると影響が大きいとした［27］。
IPAは注意喚起で、ローカルでログインできるユーザーに管理者権限を取得される可能性があるとした［19］。この脆弱性は「ネットワーク越しに攻撃できるものではなく、一般ユーザーの権限を前提とするもの」と評価されているとも書いた［19］。カナダのサイバーセキュリティセンターはAL26-009で、リモートコード実行の脆弱性と組み合わさると一層重大で、修正を優先すべきだとした［22］。
Kubernetesとクラウドの基盤
Canonicalの4月30日のブログでは、コンテナ環境で悪意のあるワークロードがコンテナから脱出するおそれがあり、そのPoCはまだ公開されていない［5］。Kasperskyは、Docker・LXC・Kubernetesは既定で、ホストのカーネルにalgif_aeadが読み込まれていればコンテナ内のプロセスにAF_ALGを使わせると説明した［29］。
MicrosoftのAKSは、現行のAKSのLinuxノードはすべて悪用でき、非rootのPod（UID 1000）からの悪用を確かめたとした［12］。Xintは5月19日の続編で、コンテナ間の汚染と、コンテナ脱出の2つのシナリオを示した［25］。コンテナ脱出は、非特権のコンテナの中か、ホストのファイルシステムをマウントした侵害済みのDaemonSetから、ホストのrootシェルを得るものである［25］。
発見の経緯
Xintのブログでは、authencesnは2011年にカーネルに加わり、2015年にAF_ALGがAEADに対応した［24］。2017年には、AEADの処理をin-placeで行う最適化（72548b093ee3）がalgif_aead.cに入った［24］。Xint Codeによる走査は約1時間で終わり、Copy Failが最も深刻度の高い結果だった［24］。同じ走査では別の権限昇格のバグを含む深刻度の高い脆弱性も見つかり、それらは責任ある開示の手続きの中にある［24］。
Xintは公表のページで、発見はAIの支援によるもので、出発点はXintの研究者による人の研究だったとした［23］。ディストリビューションが修正版を用意するあいだ、PoCの公開を1か月控えたとも書いた［23］。Theoriは4月30日の報道発表で、この脆弱性はセキュリティの専門家とオープンソースのコミュニティに9年間見つからなかったとした［26］。Linuxカーネルのセキュリティチームと修正の開発を終え、主要なOSベンダーが緊急の更新を配っている［26］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | - | CVE-2026-31431が予約された | ［1］ |
| 2026年 | Theori（Xint） | Linuxカーネルのセキュリティチームに報告した | ［23］ |
| 2026年 | - | 報告の受領が確認された | ［23］ |
| 2026年 | - | 修正が提案され、レビューされた | ［23］ |
| 2026年 | - | 修正がmainlineにコミットされた | ［23］ |
| 2026年 | LinuxカーネルのCNA | CVE記録を公開した | ［1］ |
| 2026年 | Red Hat | 脆弱性を把握し、Moderateと評価した | ［3］ |
| 2026年 | - | 上流でCVSSの7.8が付いた | ［3］ |
| 2026年 | Theori（Xint） | 詳細とPoCを公表した | ［23］ |
| 2026年 | Red Hat | 修正の緊急度を引き上げた | ［3］ |
| 2026年 | Red Hat | RHSB-2026-002を公開した | ［3］ |
| 2026年 | CISA | 既知の悪用された脆弱性（KEV）のカタログに加えた | ［18］ |
| 2026年 | IPA | 注意喚起を公開した | ［19］ |
対象の製品と版
CVE記録によると、影響を受けるのは4.14以降で、4.14より前は影響を受けない［1］。
| 配布元 | 状態 | 修正版・アドバイザリ | 資料 |
|---|---|---|---|
| Linuxカーネル（上流） | 修正版あり | 5.10.254、5.15.204、6.1.170、6.6.137、6.12.85、6.18.22、6.19.12、7.0（修正コミットa664bf3d603dほか） | ［1］ |
| Red Hat | RHEL 6・7は影響なし（Not affected） | 2026年5月4日にRHEL-9で最初の修正 | ［2、3］ |
| Canonical（Ubuntu） | 26.04（Resolute）より前の全リリースが影響を受ける | 2026年4月30日にalgif_aeadを無効にする一時的な回避策をkmodで配布（USN-8226-1・USN-8226-2）、5月19日からカーネルの修正（USN-8277-1ほか） | ［4、5］ |
| Debian（bullseye・bookworm） | 修正版あり | bullseye 5.10.251-3（DLA-4560-1）、bookworm 6.1.170-1（DSA-6243-1） | ［6］ |
| Debian（trixie・unstable） | 修正版あり | trixie 6.12.85-1（DSA-6238-1、2026年4月30日）、unstable 6.19.12-1 | ［6、7］ |
| SUSE | SLES 12 SP5以前も影響を受け（不具合のある変更をバックポート）、SLES 11は影響を受けない | 2026年5月3日に、保守中のSUSE Linux EnterpriseとopenSUSE Leapのすべての更新を出した | ［9］ |
| Amazon Web Services（Amazon Linux） | カーネル4.14・5.4・5.10・5.15・6.1・6.12・6.18が影響を受ける | 更新を出した（2026-026-AWS、2026-030-AWS） | ［10、11］ |
| Amazon Web Services（ほかのサービス） | - | Bottlerocket・ECS・EKS・EMR・Fargate・DLAMI・SageMakerの対応を示した（2026-030-AWS） | ［11］ |
| Microsoft（AKS） | AzureLinux 2.0とWindowsのノードは影響を受けない | modprobeの設定でモジュールの自動読み込みを止める緩和策を展開（AKS-2026-0003） | ［12］ |
Xintは、4つのディストリビューションで同じスクリプトを動かし、それぞれでrootを得たとした［24］。
悪用の状況
NVDが載せたKEVの項目によると、CISAは名称を「Linux Kernel Incorrect Resource Transfer Between Spheres Vulnerability」とし、対応の期限を5月15日とした［18］。求める対応は、ベンダーの指示による緩和策の適用、クラウドサービスでのBOD 22-01の指針への準拠、緩和策が無い場合の製品の使用中止である［18］。CISAはKEVへの追加を伝える告知を掲載した［17］。The Hacker Newsは、CISAが実際の攻撃での悪用の詳細を示さなかったと報じた［33］。
Microsoftの5月1日のブログでは、悪用はこれまで限られ、主にPoCの試験で観測されている［27］。Microsoft Defenderは予備的な試験の活動を見ており、数日のうちに攻撃者の悪用が増える可能性が高く、CISAのKEVへの追加もそれを裏付けるとした［27］。
Unit 42は5月5日の記事に、信頼性の高いPoCのスクリプトが公開され、予備的な試験の活動が観測されていると書いた［31］。Elasticの5月9日の記事は、Copy Failが実際の攻撃での悪用を報告され、CISAのKEVに加えられたと書いている［32］。
Kasperskyの記事によると、元のPythonに加え、GoとRustで動く版がオープンソースのリポジトリで見つかった［29］。Elasticは、Python・Go・Rust・C・Metasploitの複数の再実装が公開されているとした［32］。Rapid7は5月1日の週報で、MetasploitにAMD64とAARCH64向けのローカルのエクスプロイトを出し、ほかのアーキテクチャは今後の版で予定していると書いた［30］。
Wizは、起動から時間がたってからのAF_ALGの読み込み（起動後300秒超など）は、CVEの公表後にだけ観測されたとした［28］。JPCERT/CCは5月13日のWeekly Reportで、Copy FailとDirty Frag（CVE-2026-43284、CVE-2026-43500）を一緒に取り上げ、それぞれ詳細解説や概念実証コードが公開されているとした［20］。
修正と回避策
- Xintはまず、配布元のカーネルのパッケージを、mainlineのコミットa664bf3d603dを含む版に更新するよう求めた［23］。
- 更新できるまでは、algif_aeadのモジュールを無効にする［23］。
- コンテナ・サンドボックス・CIのような信頼できないワークロードでは、修正の有無にかかわらず、seccompでAF_ALGのソケットの作成を止める［23］。
Xintは、無効化はdm-crypt/LUKS・kTLS・IPsec/XFRM・カーネル内のTLS・OpenSSL/GnuTLS/NSSの既定のビルド・SSH・カーネルのキーリングの暗号に影響しないとした［23］。
＠ITの5月1日の記事によると、AF_ALGは暗号ディスク（cryptsetup）や無線関連ソフト（iwd）、Webブラウザなど複数のソフトウェアが使っており、単純な無効化はシステムの機能に影響を及ぼす可能性がある［35］。
The Recordは、出回っている暫定の回避策がすべてのディストリビューションで正しく機能するわけではないと報じた［34］。
Cloudflareの5月7日のブログでは、1か月前のmainlineの修正が主に使うカーネルの系列にバックポートされておらず、脆弱な状態だった［13］。修正までのあいだはbpf-lsmで再起動の要らない緩和をした［13］。自社の環境への影響は無く、顧客データに危険は無く、サービスの中断も無かったと説明した［13］。
Red Hatは、対象のモジュールはカーネルに組み込まれていてブロックリストに入れられないとし、起動引数initcall_blacklistで対象の関数を止める回避策を示した［3］。重大度はCritical未満だが修正の提供を急ぎ、すべての修正が出そろった［3］。
CERT-EUの4月30日の勧告では、勧告の日付でどのディストリビューションも修正済みのカーネルのパッケージを出しておらず、CERT-EUは暫定の緩和策をすぐに適用するよう強く勧めた［21］。勧告の表では、Ubuntu 20.04〜24.04とSUSE Linux Enterpriseは修正なしだった［21］。Amazon Linux 2023も修正なしで、Red Hat Enterprise Linuxは状態不明だった［21］。Wizは、上流に修正はあるが、5月1日の段階で多くのディストリビューションが修正版を出していないと書いた［28］。
エックスサーバーはXServer VPSの利用者に、各OSベンダーの修正済みパッケージを適用し、更新後にOSを再起動するよう求めた［14］。InfiniCloudの5月2日の告知では、Proxmox VEを用いた自社のサービスも影響を受け、Private CloudでLinuxのサーバーを構築した顧客にも影響を確認した［15］。エミックはFMプランの緊急サーバーメンテナンスの告知を掲載した［16］。
未公表の事項
- KEVへの追加の根拠となった観測の内容と、悪用を観測した組織
- 悪用された組織と件数
- 悪用した攻撃者・キャンペーン
- 悪用による被害
出典
当事者
- ［1］The Linux Kernel Organization, Inc.『CVE-2026-31431 crypto: algif_aead - Revert to operating out-of-place』（2026年4月22日公開、2026年10月15日更新）
関係組織
- ［2］Red Hat, Inc.『CVE-2026-31431』（2026年4月22日公開）
- ［3］Red Hat, Inc.『RHSB-2026-002 Cryptographic Subsystem Privilege Escalation - Linux Kernel (CVE-2026-31431) - Copy Fail』（2026年4月30日公開、2026年5月13日更新）
- ［4］Canonical Ltd.『CVE-2026-31431』（2026年4月22日公開、2026年11月6日更新）
- ［5］Canonical Ltd.『Fixes available for CVE-2026-31431 (Copy Fail) Linux Kernel Local Privilege Escalation Vulnerability』（2026年4月30日公開、2026年6月16日更新）
- ［6］Debian Project『CVE-2026-31431』（公開日不明、2026年11月7日閲覧）
- ［7］Debian Project『[DSA 6238-1] linux security update』（2026年4月30日公開）
- ［8］SUSE LLC『CVE-2026-31431』（公開日不明、2026年11月7日閲覧、2026年11月6日更新）
- ［9］SUSE LLC『SUSE responds to the copy.fail vulnerability』（2026年4月30日公開、2026年5月19日更新）
- ［10］Amazon Web Services, Inc.『CVE-2026-31431』（2026年5月6日公開、2026年5月26日更新）
- ［11］Amazon Web Services, Inc.『Ongoing updates on Copy.fail and variants』（2026年5月13日公開、2026年6月17日更新）
- ［12］Microsoft Corporation『AKS-2026-0003 AKS Advisory & Mitigation Guide for CVE-2026-31431 (Copy Fail)』（2026年5月1日公開）
- ［13］Cloudflare, Inc.『How Cloudflare responded to the “Copy Fail” Linux vulnerability』（2026年5月7日公開、2026年7月15日更新）
- ［14］エックスサーバー株式会社『【重要】Linuxカーネルの緊急性の高い脆弱性(CVE-2026-31431)について』（2026年5月1日公開）
- ［15］InfiniCloud株式会社『【重要】Proxmox VE における Copy Fail 脆弱性情報（CVE-2026-31431）への対応のお願い（2026年5月2日）』（2026年5月2日公開）
- ［16］株式会社エミック『FMプラン緊急サーバーメンテナンスのお知らせ（2026.05.01）』（2026年5月1日公開、保存記録のみ） 保存記録
公的機関
- ［17］Cybersecurity and Infrastructure Security Agency『CISA Adds One Known Exploited Vulnerability to Catalog』（2026年5月1日公開、保存記録のみ） 保存記録
- ［18］National Institute of Standards and Technology『CVE-2026-31431』（2026年4月22日公開、2026年9月8日更新）
- ［19］独立行政法人情報処理推進機構『Linuxの脆弱性対策について(CVE-2026-31431、Copy Fail)』（2026年5月1日公開、2026年5月7日更新）
- ［20］一般社団法人JPCERTコーディネーションセンター『Weekly Report 2026-05-13号』（2026年5月13日公開、2026年5月15日更新）
- ［21］CERT-EU『Security Advisory 2026-005 High Vulnerability in the Linux Kernel ("Copy Fail")』（2026年4月30日公開）
- ［22］Canadian Centre for Cyber Security『Alert - AL26-009 - Vulnerability Affecting Linux - CVE-2026-31431 – Update 1』（2026年4月30日公開、2026年5月1日更新）
調査・観測
- ［23］Theori, Inc.『Copy Fail — CVE-2026-31431』（2026年4月29日公開）
- ［24］Theori, Inc.『Copy Fail: 732 Bytes to Root on Every Major Linux Distribution.』（2026年4月29日公開、2026年5月25日更新）
- ［25］Theori, Inc.『Copy Fail: From Pod to Host』（2026年5月19日公開、2026年5月25日更新）
- ［26］Theori, Inc.『Theori Discovers 'CopyFail,' a Linux Kernel Vulnerability』（2026年4月30日公開）
- ［27］Microsoft Corporation『CVE-2026-31431: Copy Fail vulnerability enables Linux root privilege escalation across cloud environments』（2026年5月1日公開）
- ［28］Wiz, Inc.『CVE-2026-31431（Copy Fail）の解説（Wiz Blog）』（2026年5月1日公開）
- ［29］Kaspersky『Information about the Copy Fail vulnerability』（2026年4月30日公開、2026年5月5日更新、2026年5月18日更新）
- ［30］Rapid7, Inc.『Metasploit Wrap-Up 05/01/2026』（2026年5月1日公開、2026年9月18日更新）
- ［31］Palo Alto Networks, Inc.『Copy Fail: What You Need to Know About the Most Severe Linux Threat in Years』（2026年5月5日公開、2026年5月7日更新）
- ［32］Elasticsearch B.V.『Copy Fail and DirtyFrag: Linux Page Cache Bugs in the Wild』（2026年5月9日公開）
報道機関
- ［33］The Hacker News『CISA Adds Actively Exploited Linux Root Access Bug CVE-2026-31431 to KEV』（2026年5月3日公開）
- ［34］Recorded Future News『Nearly every Linux system built since 2017 vulnerable to ‘Copy Fail’ flaw』（2026年5月1日公開）
- ［35］アイティメディア株式会社『LinuxカーネルのゼロデイをAIが発見 悪用で簡単にroot権限奪取が可能に：約9年間見つかることなく潜伏か』（2026年5月1日公開）
背景資料
- ［41］The Linux Kernel Organization, Inc.『User Space Interface — The Linux Kernel documentation』（公開日不明、2026年11月7日閲覧）
更新記録
- 2026年5月3日：公開した。
- 2026年5月5日：Palo Alto NetworksのUnit 42の記事（出典31）を加え、Kasperskyの記事の5月5日の更新（出典29）を反映して「脆弱性の内容」と「悪用の状況」を改めた。
- 2026年5月6日：Amazon Web Servicesのセキュリティ情報2026-026-AWS（出典10）を「対象の製品と版」の表に加えた。
- 2026年5月7日：Cloudflareのブログ（出典13）を「修正と回避策」に加え、IPAの注意喚起の5月7日の更新（出典19）を反映して「脆弱性の内容」を、Unit 42の記事の更新（出典31）を反映して「悪用の状況」を改めた。
- 2026年5月9日：Elastic Security Labsの記事（出典32）を「悪用の状況」に加えた。
- 2026年5月13日：Amazon Web Servicesのセキュリティ情報2026-030-AWS（出典11）を「対象の製品と版」に、JPCERT/CCのWeekly Report（出典20）を「悪用の状況」に加え、Red HatのRHSB-2026-002の5月13日の更新（出典3）でリードを改めた。
- 2026年5月15日：JPCERT/CCのWeekly Reportの5月15日の更新（出典20）を反映し、「悪用の状況」を改めた。
- 2026年5月18日：Kasperskyの記事の5月18日の更新（出典29）を反映し、「悪用の状況」を改めた。
- 2026年5月19日：Xintの続編のブログ（出典25）を「脆弱性の内容」に加え、SUSEのブログの5月19日の更新（出典9）を反映して「対象の製品と版」の表を改めた。
- 2026年5月25日：Xintのブログ2本の5月25日の更新（出典24、25）を反映し、「脆弱性の内容」と「対象の製品と版」を改めた。
- 2026年5月26日：2026-026-AWSの5月26日の更新（出典10）を反映し、「対象の製品と版」の表を改めた。
- 2026年6月16日：Canonicalのブログの6月16日の更新（出典5）を反映し、「脆弱性の内容」と「対象の製品と版」の表を改めた。
- 2026年6月17日：2026-030-AWSの6月17日の更新（出典11）を反映し、「対象の製品と版」の表を改めた。
- 2026年7月15日：Cloudflareのブログの7月15日の更新（出典13）を反映し、「修正と回避策」を改めた。
- 2026年9月8日：NVDの記録の9月8日の更新（出典18）を反映し、「悪用の状況」を改めた。
- 2026年9月18日：Rapid7の週報の9月18日の更新（出典30）を反映し、「悪用の状況」を改めた。
- 2026年10月15日：CVE記録の10月15日の更新（出典1）を反映し、「脆弱性の内容」と「対象の製品と版」を改めた。
- 2026年11月6日：CanonicalのCVEレポート（出典4）とSUSEのCVEページ（出典8）の11月6日の更新を反映し、リードと「対象の製品と版」の表を改めた。