# Один скрипт, полный доступ, нет патчей: как CopyFail поставила Linux на колени - Site: VeraPoint News - Section: Новости - Date: 2026-05-02 - Canonical: https://verapointmedia.com/news/the-most-severe-linux-threat-to-surface-in-years-catches-the-world-flat-footed/ - Markdown: https://verapointmedia.com/news/the-most-severe-linux-threat-to-surface-in-years-catches-the-world-flat-footed.md - Summary: Исследователи Theori выпустили эксплойт CopyFail (CVE-2026-31431) до появления патчей у большинства дистрибутивов. Уязвимость даёт root через один Python-скрипт, угрожая облакам, Kubernet... - Image: https://verapointmedia.com/static/2026-05-02_the-most-severe-linux-threat-to-surface-in-years-catches-the-world-flat-footed-news-cover.webp ## Sources - https://arstechnica.com/security/2026/04/as-the-most-severe-linux-threat-in-years-surfaces-the-world-scrambles/ --- Когда я увидела, что один и тот же Python-скрипт даёт root-права на Ubuntu, Debian, Amazon Linux и SUSE без единого изменения, я сначала подумала, что это шутка. Это как если бы один ключ подходил ко всем дверям в вашем доме, подъезде и офисе одновременно — и его бы выложили в открытый доступ, пока вы ещё даже не успели сходить в магазин за новым замком. Если вы думаете, что это проблема только для дядек с бейджами «Системный администратор» где-то в дата-центрах — подождите. Если у вас есть сайт на shared-хостинге, вы используете облачные сервисы, запускаете контейнеры, или даже просто ставили Linux через WSL2 на Windows «для посмотреть» — это про вас. И сейчас вы, скорее всего, беззащитны. ## Что такое CopyFail и почему это не «ещё одна дыра» Южнокорейская security-компания Theori (они специализируются на поиске уязвимостей в ядрах и системах) нашла логическую ошибку в криптографическом API Linux. Назвали её CopyFail, присвоили номер CVE-2026-31431. По классификации это «локальное повышение привилегий» — LPE. Звучит технично и, честно, скучно. Но я загуглила, что это означает на человеческом: любой процесс, который уже может запустить код на машине — хоть беспривилегированный пользователь, хоть изолированный контейнер — может за несколько секунд стать root. А root в Linux — это полный контроль: чтение любых файлов, установка backdoor’ов, прослушка соседних процессов, доступ к чужим данным. Обычно такие баги в ядре — это сложные «гонки» (race conditions) или повреждения памяти, которые работают через раз и требуют точной подгонки под конкретную версию системы. CopyFail же — «straight-line» баг: он надёжен как швейцарские часы, одинаков для всех дистрибутивов, не требует удачного совпадения обстоятельств. One script to root them all. ## «Локальная» уязвимость в эпоху облаков — оксюморон Вот тут я реально присела. В 2026 году слово «локальная» потеряло смысл. «Локальный» доступ сейчас — это контейнер на shared Kubernetes-ноде (где ваши контейнеры сидят рядом с чужими), это CI/CD пайплайн, который запускает код из Pull Request’а неизвестного разработчика, это ваш личный WSL2-инстанс на рабочем ноутбуке. Все они делят одно ядро Linux с соседями. Исследователь Jorijn Schrijvershof очень точно расписал цепочку: атакующий эксплуатирует известную дырку в WordPress-плагине, получает shell как www-data, запускает copy.fail — и через десять секунд он root на хосте. Все соседи внезапно оказываются в одной комнате с человеком, у которого есть ключи от всех дверей. ## Вы серьёзно? Эксплойт до патчей? Самое жуткое здесь не сам баг, а хронология. Theori сообщили об уязвимости команде безопасности Linux пять недель назад. Патчи появились в upstream (это основная ветка разработки ядра, откуда их берут производители дистрибутивов), но упаковать их для конкретных систем — Ubuntu, Debian, SUSE, Amazon Linux — нужно время. Тестирование, сборка, распространение. И что делает Theori? Публикует рабочий эксплойт прямо сейчас, пока большинство систем всё ещё открыты. Я не специалист по responsible disclosure, но даже мне кажется странным: выкладывать оружие до того, как аптеки успели завезти противоядие. Аналитик Will Dormann из Tharros Labs прямо ругает их за «абсолютно ужасную координацию раскрытия». В блогпосте Theori одновременно перечисляют затронутые дистрибутивы и советуют «применить vendor patches». Но, как заметил Dormann, они даже не проверили, что у этих вендоров патчей ещё нет. Это как рекомендовать лечение, когда лекарство ещё не изобрели. ## Кто точно под ударом (а кто уже в относительной безопасности) На момент публикации подтверждено, что эксплойт работает на Ubuntu 22.04, Amazon Linux 2023, SUSE 15.6 и Debian 12. У этих систем пока нет готовых патчей, только рекомендации по смягчению рисков. Уже пропатчены Arch Linux и Fedora — они двигаются быстрее, потому что меньше заморачиваются с backport’ами стабильных версий. Остальные — в процессе. Кто в зоне риска? Администраторы multi-tenant серверов (где один физический сервер делят десятки клиентов), операторы Kubernetes-кластеров (где контейнеры изолированы… до тех пор, пока кто-то не получит root на хосте), команды CI/CD (где раннеры выполняют чужой код), и даже обычные пользователи WSL2 на Windows — там тоже полноценное ядро Linux, и оно уязвимо. ## Это называют ответственным раскрытием. Я называю это иначе Меня цепляет в этой истории не только техническая сторона, но и этический вопрос. Theori, кстати, нашли баг с помощью своего AI-инструмента Xint — сканирование заняло около часа. И они гордятся тем, что разработали эксплойт для «побега» из Kubernetes-контейнеров. Но вот что странно: компания, которая позиционирует себя как защитник безопасности, фактически проводит стресс-тест на живых пользователях. Да, они сообщили о баге заранее. Но выпуск публичного эксплойта до того, как основные дистрибутивы успели закрыть дыру — это не «помогаем сообществу», это «смотрите, какие мы крутые, у нас есть эксплойт, который ломает всё, и мы его выложили, пока вы вPanic». Маркетинг победил здравый смысл. И теперь админы по всему миру должны спасать инфраструктуру в авральном режиме, потому что кому-то захотелось побыстрее опубликовать красивый proof-of-concept. ## Окей, что я сама сделала бы сегодня вечером Если вы не админ — напишите своему хостинг-провайдеру или команде, которая обслуживает ваши сервера, и спросите, обновлено ли ядро. Не стесняйтесь задавать неудобные вопросы. Если вы админ или SRE: - Проверьте версию ядра командой `uname -r`. Если вы ниже 6.12.85, 6.6.137, 6.1.170, 5.15.204 или 5.10.254 — вы уязвимы. - Для multi-tenant систем рассмотрите emergency isolation: если не можете пропатчить немедленно, ограничьте возможность выполнения непроверенного кода. - В CI/CD временно повысьте паранойю: не запускайте раннеры с чужим кодом на критичных нодах, ограничьте доступ к хосту. - Если используете WSL2 с доступом к важным данным — возможно, стоит взять паузу до обновления. Мы построили всю современную инфраструктуру на shared-ядре Linux — облака, контейнеры, бессерверные вычисления. И вдруг оказывается, что граница между «моим изолированным контейнером» и «чужим полным контролем над железом» — это одна логическая ошибка в криптографическом модуле ядра. И research-компания решает, что лучший способ помочь безопасности — это выложить универсальный ключ до того, как двери успели починить. ## Материалы - \[Ars Technica\] The most severe Linux threat to surface in years catches the world flat-footed: [https://arstechnica.com/security/2026/04/as-the-most-severe-linux-threat-in-years-surfaces-the-world-scrambles/](https://arstechnica.com/security/2026/04/as-the-most-severe-linux-threat-in-years-surfaces-the-world-scrambles/)