{"title":"Один скрипт, полный доступ, нет патчей: как CopyFail поставила Linux на колени","url":"https://verapointmedia.com/news/the-most-severe-linux-threat-to-surface-in-years-catches-the-world-flat-footed/","markdownUrl":"https://verapointmedia.com/news/the-most-severe-linux-threat-to-surface-in-years-catches-the-world-flat-footed.md","language":"ru","category":"news","publishedAt":"2026-05-02T09:00:00.000Z","updatedAt":"2026-05-02T09:00:00.000Z","references":["https://arstechnica.com/security/2026/04/as-the-most-severe-linux-threat-in-years-surfaces-the-world-scrambles/"],"rights":"Public user-requested reading, summarization and citation allowed. Model training requires separate permission.","contentMarkdown":"# Один скрипт, полный доступ, нет патчей: как CopyFail поставила Linux на колени\n\n- Site: VeraPoint News\n- Section: Новости\n- Date: 2026-05-02\n- Canonical: https://verapointmedia.com/news/the-most-severe-linux-threat-to-surface-in-years-catches-the-world-flat-footed/\n- Markdown: https://verapointmedia.com/news/the-most-severe-linux-threat-to-surface-in-years-catches-the-world-flat-footed.md\n- Summary: Исследователи Theori выпустили эксплойт CopyFail (CVE-2026-31431) до появления патчей у большинства дистрибутивов. Уязвимость даёт root через один Python-скрипт, угрожая облакам, Kubernet...\n- Image: https://verapointmedia.com/static/2026-05-02_the-most-severe-linux-threat-to-surface-in-years-catches-the-world-flat-footed-news-cover.webp\n\n## Sources\n\n- https://arstechnica.com/security/2026/04/as-the-most-severe-linux-threat-in-years-surfaces-the-world-scrambles/\n\n---\n\nКогда я увидела, что один и тот же Python-скрипт даёт root-права на Ubuntu, Debian, Amazon Linux и SUSE без единого изменения, я сначала подумала, что это шутка. Это как если бы один ключ подходил ко всем дверям в вашем доме, подъезде и офисе одновременно — и его бы выложили в открытый доступ, пока вы ещё даже не успели сходить в магазин за новым замком.\n\nЕсли вы думаете, что это проблема только для дядек с бейджами «Системный администратор» где-то в дата-центрах — подождите. Если у вас есть сайт на shared-хостинге, вы используете облачные сервисы, запускаете контейнеры, или даже просто ставили Linux через WSL2 на Windows «для посмотреть» — это про вас. И сейчас вы, скорее всего, беззащитны.\n\n## Что такое CopyFail и почему это не «ещё одна дыра»\n\nЮжнокорейская security-компания Theori (они специализируются на поиске уязвимостей в ядрах и системах) нашла логическую ошибку в криптографическом API Linux. Назвали её CopyFail, присвоили номер CVE-2026-31431. По классификации это «локальное повышение привилегий» — LPE.\n\nЗвучит технично и, честно, скучно. Но я загуглила, что это означает на человеческом: любой процесс, который уже может запустить код на машине — хоть беспривилегированный пользователь, хоть изолированный контейнер — может за несколько секунд стать root. А root в Linux — это полный контроль: чтение любых файлов, установка backdoor’ов, прослушка соседних процессов, доступ к чужим данным.\n\nОбычно такие баги в ядре — это сложные «гонки» (race conditions) или повреждения памяти, которые работают через раз и требуют точной подгонки под конкретную версию системы. CopyFail же — «straight-line» баг: он надёжен как швейцарские часы, одинаков для всех дистрибутивов, не требует удачного совпадения обстоятельств. One script to root them all.\n\n## «Локальная» уязвимость в эпоху облаков — оксюморон\n\nВот тут я реально присела. В 2026 году слово «локальная» потеряло смысл. «Локальный» доступ сейчас — это контейнер на shared Kubernetes-ноде (где ваши контейнеры сидят рядом с чужими), это CI/CD пайплайн, который запускает код из Pull Request’а неизвестного разработчика, это ваш личный WSL2-инстанс на рабочем ноутбуке.\n\nВсе они делят одно ядро Linux с соседями. Исследователь Jorijn Schrijvershof очень точно расписал цепочку: атакующий эксплуатирует известную дырку в WordPress-плагине, получает shell как www-data, запускает copy.fail — и через десять секунд он root на хосте. Все соседи внезапно оказываются в одной комнате с человеком, у которого есть ключи от всех дверей.\n\n## Вы серьёзно? Эксплойт до патчей?\n\nСамое жуткое здесь не сам баг, а хронология. Theori сообщили об уязвимости команде безопасности Linux пять недель назад. Патчи появились в upstream (это основная ветка разработки ядра, откуда их берут производители дистрибутивов), но упаковать их для конкретных систем — Ubuntu, Debian, SUSE, Amazon Linux — нужно время. Тестирование, сборка, распространение.\n\nИ что делает Theori? Публикует рабочий эксплойт прямо сейчас, пока большинство систем всё ещё открыты. Я не специалист по responsible disclosure, но даже мне кажется странным: выкладывать оружие до того, как аптеки успели завезти противоядие.\n\nАналитик Will Dormann из Tharros Labs прямо ругает их за «абсолютно ужасную координацию раскрытия». В блогпосте Theori одновременно перечисляют затронутые дистрибутивы и советуют «применить vendor patches». Но, как заметил Dormann, они даже не проверили, что у этих вендоров патчей ещё нет. Это как рекомендовать лечение, когда лекарство ещё не изобрели.\n\n## Кто точно под ударом (а кто уже в относительной безопасности)\n\nНа момент публикации подтверждено, что эксплойт работает на Ubuntu 22.04, Amazon Linux 2023, SUSE 15.6 и Debian 12. У этих систем пока нет готовых патчей, только рекомендации по смягчению рисков.\n\nУже пропатчены Arch Linux и Fedora — они двигаются быстрее, потому что меньше заморачиваются с backport’ами стабильных версий. Остальные — в процессе.\n\nКто в зоне риска? Администраторы multi-tenant серверов (где один физический сервер делят десятки клиентов), операторы Kubernetes-кластеров (где контейнеры изолированы… до тех пор, пока кто-то не получит root на хосте), команды CI/CD (где раннеры выполняют чужой код), и даже обычные пользователи WSL2 на Windows — там тоже полноценное ядро Linux, и оно уязвимо.\n\n## Это называют ответственным раскрытием. Я называю это иначе\n\nМеня цепляет в этой истории не только техническая сторона, но и этический вопрос. Theori, кстати, нашли баг с помощью своего AI-инструмента Xint — сканирование заняло около часа. И они гордятся тем, что разработали эксплойт для «побега» из Kubernetes-контейнеров.\n\nНо вот что странно: компания, которая позиционирует себя как защитник безопасности, фактически проводит стресс-тест на живых пользователях. Да, они сообщили о баге заранее. Но выпуск публичного эксплойта до того, как основные дистрибутивы успели закрыть дыру — это не «помогаем сообществу», это «смотрите, какие мы крутые, у нас есть эксплойт, который ломает всё, и мы его выложили, пока вы вPanic».\n\nМаркетинг победил здравый смысл. И теперь админы по всему миру должны спасать инфраструктуру в авральном режиме, потому что кому-то захотелось побыстрее опубликовать красивый proof-of-concept.\n\n## Окей, что я сама сделала бы сегодня вечером\n\nЕсли вы не админ — напишите своему хостинг-провайдеру или команде, которая обслуживает ваши сервера, и спросите, обновлено ли ядро. Не стесняйтесь задавать неудобные вопросы.\n\nЕсли вы админ или SRE:\n\n- Проверьте версию ядра командой `uname -r`. Если вы ниже 6.12.85, 6.6.137, 6.1.170, 5.15.204 или 5.10.254 — вы уязвимы.\n- Для multi-tenant систем рассмотрите emergency isolation: если не можете пропатчить немедленно, ограничьте возможность выполнения непроверенного кода.\n- В CI/CD временно повысьте паранойю: не запускайте раннеры с чужим кодом на критичных нодах, ограничьте доступ к хосту.\n- Если используете WSL2 с доступом к важным данным — возможно, стоит взять паузу до обновления.\n\nМы построили всю современную инфраструктуру на shared-ядре Linux — облака, контейнеры, бессерверные вычисления. И вдруг оказывается, что граница между «моим изолированным контейнером» и «чужим полным контролем над железом» — это одна логическая ошибка в криптографическом модуле ядра. И research-компания решает, что лучший способ помочь безопасности — это выложить универсальный ключ до того, как двери успели починить.\n\n## Материалы\n\n- \\[Ars Technica\\] The most severe Linux threat to surface in years catches the world flat-footed: [https://arstechnica.com/security/2026/04/as-the-most-severe-linux-threat-in-years-surfaces-the-world-scrambles/](https://arstechnica.com/security/2026/04/as-the-most-severe-linux-threat-in-years-surfaces-the-world-scrambles/)\n"}