CNCS alerta para falha crítica no Linux

O Centro Nacional de Cibersegurança (CNCS) emitiu um alerta relativo à vulnerabilidade CVE-2026-31431, conhecida como ‘Copy Fail’, que afeta o kernel Linux e pode permitir a escalada local de privilégios até root em praticamente todas as distribuições Linux mainstream compiladas desde 2017.

A falha, divulgada publicamente a 29 de abril de 2026, já foi adicionada ao catálogo Known Exploited Vulnerabilities (KEV) da CISA, a agência norte-americana de cibersegurança, devido à existência de exploração ativa.

Segundo o CNCS, a vulnerabilidade reside no módulo algif_aead do kernel Linux e pode ser explorada de forma determinística por qualquer utilizador autenticado com privilégios baixos, sem necessidade de interação adicional. O impacto é considerado crítico ao nível da confidencialidade, integridade e disponibilidade dos sistemas.

O alerta destaca que a vulnerabilidade já foi demonstrada através de uma prova de conceito pública em Python, com apenas 732 bytes, compatível com várias distribuições sem necessidade de adaptação.

Entre os sistemas afetados encontram-se distribuições como Ubuntu, Amazon Linux, RHEL, SUSE Linux Enterprise, Debian, Fedora, Arch Linux, Rocky Linux, AlmaLinux e Oracle Linux. O Ubuntu 26.04 e kernels mais recentes não são afetados.

O CNCS alerta para riscos acrescidos em ambientes que executem código de terceiros, incluindo clusters Kubernetes, plataformas CI/CD, hosts multiutilizador e infraestruturas SaaS. Nestes cenários, a vulnerabilidade pode permitir container escape, comprometimento entre tenants e controlo total do sistema anfitrião.

Embora a falha não seja explorável remotamente, pode ser utilizada como etapa de pós-exploração após acesso inicial obtido através de credenciais comprometidas, vulnerabilidades web ou código malicioso em pipelines de desenvolvimento.

Como medida prioritária, o CNCS recomenda a atualização imediata do kernel para versões corrigidas disponibilizadas pelos fabricantes das distribuições Linux. Nos casos em que a atualização não seja possível de imediato, é recomendada a mitigação temporária através da desativação do módulo vulnerável.

O CNCS recomenda ainda o bloqueio da criação de sockets AF_ALG através de políticas seccomp em contentores e ambientes CI/CD que executem cargas de trabalho não confiáveis.