CVE-2026-31431 ‘Copy-Fail’: Cuando copiar un archivo es suficiente para tomar el control de Linux

Clasificación: Vulnerabilidad de alta severidad — Escalada de privilegios
Fecha de divulgación pública: 14 de mayo de 2026
Investigadores: Microsoft Security Research Team

El equipo de seguridad de Microsoft descubrió una vulnerabilidad crítica en el kernel de Linux que permite a cualquier usuario con una cuenta normal en el sistema obtener privilegios de administrador absoluto (root) sin necesidad de herramientas especializadas ni configuraciones inusuales. Apodada ‘Copy-Fail’ e identificada oficialmente como CVE-2026-31431, el fallo reside en la lógica de manejo de memoria durante operaciones de copia de datos, una rutina que el kernel ejecuta miles de millones de veces al día en servidores y computadoras personales de todo el mundo.

El problema en una línea

Cualquier usuario con acceso a un sistema Linux podía, con una operación de copia de datos, ejecutar código con los máximos privilegios del sistema operativo. Sin exploits sofisticados. Sin permisos especiales. Con las mismas herramientas que vienen instaladas por defecto.

Eso es CVE-2026-31431.

Contexto: ¿Qué es ‘Copy-Fail’ y por qué importa?

En términos cotidianos, “escalar privilegios” significa pasar de ser un usuario corriente —con acceso limitado a sus propios archivos— a convertirse en el administrador máximo del sistema (root): alguien que puede leer, modificar o eliminar cualquier archivo, instalar cualquier software y controlar cada proceso activo en la máquina.

El fallo de Copy-Fail reside en el manejo de memoria del kernel de Linux durante operaciones de copia de datos entre espacios de memoria protegidos. Cuando un programa solicita copiar información de una región de memoria a otra, el sistema debería verificar rigurosamente que el proceso solicitante tiene permiso para hacerlo. Un error de lógica en esa verificación permite que un atacante manipule los metadatos de la operación para escribir en zonas de memoria que normalmente están reservadas exclusivamente para el kernel. Desde ahí, la ruta hacia el control total del sistema es directa.

Lo que convierte este caso en especialmente relevante —más allá de la gravedad técnica— es que fue descubierto por Microsoft, una empresa que hoy es uno de los mayores contribuyentes al ecosistema de Linux a través de su plataforma en la nube Azure y del Subsistema de Windows para Linux (WSL). Esto ilustra un patrón creciente en la seguridad: empresas que compiten en el mercado colaboran activamente en la protección de infraestructura compartida.

Cómo funciona el fallo: un error menor con consecuencias devastadoras

Para entender la vulnerabilidad, conviene entender qué papel juega el kernel en un sistema Linux.

El kernel es el núcleo del sistema operativo: el componente que controla el hardware, gestiona la memoria, y actúa como árbitro entre los programas de usuario y los recursos del sistema. Cuando un proceso de usuario necesita realizar una operación privilegiada —como copiar datos hacia o desde el espacio del kernel— debe hacerlo a través de interfaces controladas que verifican permisos en cada paso.

Copy-Fail explota una inconsistencia en esa verificación:

Paso 1 — Solicitud de copia aparentemente legítima.
Un proceso sin privilegios inicia una operación de copia de datos que, en la superficie, parece válida y dentro de sus permisos.

Paso 2 — Manipulación de metadatos durante la operación.
Debido al fallo, el proceso puede alterar ciertos metadatos de la operación en curso —concretamente, información sobre el origen o destino de la copia— sin que el kernel lo detecte.

Paso 3 — Escritura en memoria privilegiada.
El kernel, confiando en los metadatos ya alterados, completa la copia hacia una región de memoria que debería ser inaccesible para usuarios normales. El atacante puede así sobrescribir estructuras internas del kernel, incluyendo las que definen los privilegios del proceso en ejecución.

Paso 4 — Ejecución como root.
Con las estructuras de privilegios modificadas, el proceso del atacante pasa a ejecutarse con permisos de administrador total. Desde ese punto, el sistema está comprometido.

# Salida representativa de una prueba de concepto contra un sistema vulnerable
uid=1001(usuario) gid=1001(usuario) → uid=0(root) gid=0(root)

La explotación no requiere hardware especial, software adicional ni configuraciones inusuales. Un sistema Linux estándar, sin parchear, con una cuenta de usuario activa es suficiente.

¿Qué sistemas están afectados?

El impacto de Copy-Fail es amplio por naturaleza: el kernel de Linux es la base de prácticamente toda la infraestructura digital moderna.

• Servidores empresariales que ejecutan distribuciones como Ubuntu Server, Red Hat Enterprise Linux, Debian o CentOS.
• Computadoras personales con cualquier distribución de escritorio basada en Linux.
• Entornos de nube y contenedores: en configuraciones donde el aislamiento entre contenedores no es perfecto, comprometer el kernel del host desde un contenedor es una amenaza real.
• Dispositivos embebidos y sistemas IoT que ejecuten kernels Linux afectados.

La condición de explotación mínima —tener acceso a una cuenta de usuario en el sistema— aplica a prácticamente cualquier escenario: un empleado descontento, un atacante que haya obtenido credenciales mediante phishing, o un proceso comprometido con privilegios bajos que busque escalar.

Análisis: por qué los errores de memoria siguen siendo la amenaza más persistente

Copy-Fail pertenece a una familia de vulnerabilidades que lleva décadas siendo identificada como riesgo sistémico y que, sin embargo, sigue siendo responsable de una proporción desproporcionada de los ataques exitosos en el mundo real: los fallos de manejo de memoria.

La razón es estructural. El kernel de Linux está escrito principalmente en C, un lenguaje que otorga al programador control manual y directo sobre la memoria. Esa flexibilidad es precisamente lo que hace a C ideal para un kernel —velocidad, control, eficiencia— pero también significa que un error de lógica en una verificación de permisos, un desbordamiento de búfer o una condición de carrera puede tener consecuencias que se propagan hasta los cimientos del sistema operativo.

La industria lleva años trabajando en mitigaciones: mecanismos como ASLR (Address Space Layout Randomization), SMEP, SMAP y los sistemas de seguridad por capas de SELinux o AppArmor dificultan la explotación. Pero no la eliminan. Copy-Fail es un recordatorio de que mientras exista código crítico en lenguajes con gestión manual de memoria, este tipo de vulnerabilidades seguirá apareciendo.

El descubrimiento por parte de Microsoft también tiene una implicación metodológica relevante: los equipos de seguridad de grandes empresas tecnológicas están dedicando recursos crecientes a auditar el software de código abierto del que depende su infraestructura. Eso es, en balance, una buena noticia para el ecosistema.

Recomendaciones de seguridad

La medida más importante es una sola: actualizar el kernel lo antes posible. Las principales distribuciones de Linux ya han publicado o están publicando parches que corrigen este fallo.

Para usuarios de escritorio y administradores de sistemas

Aplicar las actualizaciones de seguridad disponibles en la distribución utilizada:

Después de aplicar la actualización, reiniciar el sistema es obligatorio para que el nuevo kernel entre en efecto. Verificar la versión activa con:

uname -r

Consultar el aviso de seguridad de la distribución para confirmar qué versión de kernel incluye la corrección.

Medidas complementarias recomendadas

• Activar actualizaciones automáticas de seguridad. En servidores críticos, configurar unattended-upgrades (Debian/Ubuntu) o dnf-automatic (Red Hat/Fedora) para recibir parches sin intervención manual.
• Auditar cuentas de usuario activas. Un atacante solo puede explotar esta vulnerabilidad si ya tiene algún acceso al sistema. Revisar y revocar accesos innecesarios reduce la superficie de ataque.
• Implementar monitoreo de privilegios. Herramientas como auditd permiten detectar elevaciones de privilegios anómalas en tiempo real.
• Suscribirse a boletines de seguridad oficiales. El canal de CVEs del NIST y los avisos de seguridad de cada distribución son la fuente más confiable para alertas tempranas.

Recapitulando…

CVE-2026-31431 ‘Copy-Fail’ es una vulnerabilidad de escalada de privilegios en el kernel de Linux que permite a cualquier usuario con acceso básico al sistema obtener el control total (root) de la máquina, sin herramientas especiales ni configuraciones inusuales.

El fallo fue descubierto por el equipo de seguridad de Microsoft y reside en la lógica de verificación de permisos durante operaciones de copia de datos en memoria. Su impacto alcanza a servidores empresariales, computadoras personales, entornos de nube y dispositivos embebidos que ejecuten versiones vulnerables del kernel de Linux.

Los puntos clave a retener:

• El vector de ataque es trivial: no requiere privilegios previos ni software adicional.
• Los sistemas afectados son ubicuos: cualquier máquina Linux sin parchear es potencialmente vulnerable.
• El parche ya existe: todas las distribuciones principales han publicado o están publicando actualizaciones que corrigen el fallo.
• La acción requerida es una: actualizar el kernel y reiniciar el sistema.
• El tiempo importa: cada día sin parchear es una ventana de oportunidad para un atacante que ya tenga acceso a una cuenta en el sistema.

Copy-Fail no es el primer fallo de este tipo en el kernel de Linux y no será el último. Pero la rapidez con que la comunidad respondió —desde el reporte hasta la distribución de parches— es también un recordatorio de la fortaleza del modelo de seguridad colaborativo del software de código abierto.

Referencias

• Microsoft Security Response Center — CVE-2026-31431 Advisory, mayo 2026.
• National Vulnerability Database (NIST) — nvd.nist.gov/vuln/detail/CVE-2026-31431
• Ubuntu Security Notices — ubuntu.com/security/CVE-2026-31431
• Red Hat Security Advisory — access.redhat.com/security/cve/CVE-2026-31431
• Kernel.org — Linux Kernel Security. kernel.org/doc/html/latest/admin-guide/security-bugs.html