Vulnerabilidad crítica en el kernel de Linux CVE-2026-31431

En el subsistema criptográfico del kernel de Linux (interfaz AF_ALG) se ha descubierto una vulnerabilidad crítica CVE-2026-31431 que permite a un usuario local escalar privilegios hasta root.

En un servidor estándar, esto implica una escalada de privilegios no autorizada. En entornos contenerizados (Docker, Kubernetes), la vulnerabilidad puede aprovecharse para escapar del contenedor y obtener el control total sobre el sistema anfitrión.

CentOS 7 y las distribuciones que utilizan ramas de kernel más antiguas no se ven afectadas.

Comprobación del servidor

Ejecuta el siguiente comando en el terminal para verificar si tu sistema es vulnerable:

python3 -c "
import socket, sys
try:
    s = socket.socket(socket.AF_ALG, socket.SOCK_SEQPACKET, 0)
    s.bind(('aead', 'authencesn(hmac(sha256),cbc(aes))'))
    print('VULNERABLE')
    sys.exit(1)
except OSError as e:
    print('Not vulnerable:', e)
    sys.exit(0)
"

Si la salida muestra VULNERABLE, tu sistema está afectado y requiere acción inmediata.

Mitigación

Hasta que se publique un parche oficial, deshabilita el módulo del kernel afectado.

Ubuntu, Debian y sistemas similares

# Crear una configuración de lista negra
echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif-aead.conf

# Descargar el módulo si está actualmente cargado
rmmod algif_aead 2>/dev/null || true

Si utilizas Ubuntu con las actualizaciones automáticas habilitadas (habilitadas por defecto), no es necesario realizar el paso anterior.

CentOS, RHEL, AlmaLinux, Rocky Linux

# Lista negra mediante la línea de comandos del kernel (persistente entre actualizaciones)
grubby --update-kernel=ALL --args="initcall_blacklist=algif_aead_init"

# Reiniciar para aplicar los cambios
reboot -h now

Tras aplicar la solución temporal, monitoriza los repositorios oficiales de tu distribución e instala el parche del kernel en cuanto esté disponible.

Referencias

• Análisis de la vulnerabilidad (Copy.fail)
• NIST NVD: CVE-2026-31431
• Entrada MITRE CVE
• Rastreadores de distribuciones: Debian | Red Hat | Ubuntu | SUSE