2026-05-06 06:25:01 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： CVE-2026-31431是Linux内核高危本地提权漏洞，通过authencesn模块逻辑缺陷篡改只读内存，普通用户无需交互即可稳定获取root权限。影响2017-2026年间主流发行版，需及时更新内核补丁。 综合评分： 95 文章分类： 漏洞分析,漏洞预警,应急响应,终端安全,云安全

cover_image

重磅预警｜CVE-2026-31431 Copy Fail：潜伏 9 年！732 字节 EXP 秒提 Linux Root，仅需十行代码即可获取系统Root权限？

挽风挽风

挽风安全

2026年5月1日 15:57 四川

在小说阅读器读本章

去阅读

今天给大家拆解一个近几年Linux 安全领域重量级高危漏洞：仅 732 字节 EXP，十行Python代码，普通用户权限1 秒直达 Root，悄无声息潜伏内核整整 9 年才被曝光！它就是 4 月 29 日正式公开的 CVE-2026-31431 代号 Copy Fail。

一、漏洞速览

一句话总结：只要拥有 Linux 普通用户账号，无条件、零交互直接拿下最高 Root 权限。

二、漏洞成因：一次性能优化，埋下 9 年安全雷。

漏洞根源位于 Linux 内核加密子系统`authencesn`模块。

2017 年内核为优化 AEAD 认证加密性能，引入原地（in-place）优化机制。初衷是提升加密运算效率，但逻辑设计存在缺陷：特定条件下，页缓存中本应只读的内存页面，被错误归入可写目标散列表。

通俗来说：只读内存被强行改成可写状态。

攻击者借助AF_ALG套接字暴露的内核加密 API，搭配splice()系统调用触发逻辑漏洞，恶意篡改su等 setuid 二进制文件的页缓存内容，篡改程序执行逻辑，最终拿到 Root Shell。

三、影响范围：主流 Linux 发行版大面积沦陷

2017 年至补丁发布前，所有 Linux 内核版本基本均受波及，主流发行版受影响版本如下：

四、732 字节 EXP 已公开，武器化随时可用

漏洞披露当日，POC/EXP 已同步开源至 GitHub：

仓库地址：github.com/theori-io/copy-fail-CVE-2026-31431

仅 732 字节的精简利用代码，目前全网安全厂商、技术社区均已复现，利用成功率 100%。这意味着：只要拿到受影响服务器普通账号，任何人都能 1 秒拿下 Root。

五、核心攻击复现逻辑

1.借助 AF_ALG 套接字创建 AEAD 加密会话；
2.通过 splice () 调用，将/usr/bin/su等 setuid 程序页缓存导入内核加密管道；
4.触发 authencesn 模块逻辑缺陷，篡改只读页缓存为可写；
5.实现 4 字节任意内存写入，篡改 su 程序执行逻辑；
6.执行篡改后的程序，直接获取 Root Shell。

7.全程无竞争、无依赖，攻击链路简单直接。

六、结语&本地复现

CVE-2026-31431 Copy Fail 最可怕的地方，在于极致的简洁：732 字节代码、近乎十行代码、无门槛利用、潜伏九年，安静蛰伏在内核深处。

作者仅用仓库提供的Exp尝试复现：

如图已获取系统Root权限，完事下机！

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：挽风安全挽风挽风《重磅预警｜CVE-2026-31431 Copy Fail：潜伏 9 年！732 字节 EXP 秒提 Linux Root，仅需十行代码即可获取系统Root权限？》