Das Versprechen
Das Sicherheitsteam des Linux-Kernels gibt sofortigen öffentlichen Commits Vorrang vor der Abstimmung mit nachgelagerten Distributionen. Das erzeugt für große Distributionen einen systembedingten „Sicherheitsrückstand“. Diese Praxis sorgt dafür, dass Fixes schnell in die öffentlichen Trees gelangen. Nutzer von Ubuntu, RHEL und Gentoo sind öffentlichen Exploits aber tagelang ausgesetzt, bevor offizielle Patches erscheinen.
Unter der Haube
Die aktuelle Reibung entsteht, weil der Kernel sich weigert, exklusiven Vorabzugang zu Sicherheitsfixes zu gewähren (Quelle: kernel.org). Diese Haltung wurde kürzlich durch CVE-2026-31431 auf die Probe gestellt, Spitzname „Copy Fail“. Es handelt sich um eine lokale Rechteausweitung mit CVSS 7.8 im Modul algif_aead, die seit 2017 besteht (SentinelOne, Theori).
Theori entdeckte die Schwachstelle mit „Xint Code“, einem KI-gestützten Scanner. Er identifizierte die Primitive zur Speicherkorruption in etwa sechzig Minuten Scanzeit (Bugcrowd, Theori). Die Mainline-Maintainer committeten am 1. April 2026 einen Fix. Sie informierten die Maintainer der Distributionen aber nicht über die übliche Mailingliste „linux-distros“ (Openwall, Sam James).
Am 29. April 2026 erschien ein 732 Byte großer PoC-Exploit in Python. Er bietet einen funktionierenden Weg für Container-Ausbrüche in Umgebungen mit gemeinsam genutztem Kernel (CERT-EU, Theori). Zu diesem Zeitpunkt hatten mehrere große Distributionen noch keine offiziellen Sicherheitsupdates in ihre stabilen Kanäle ausgeliefert (Help Net Security).
Produktionsteams haben derzeit zwei wesentliche Möglichkeiten zur Abwehr:
- Einsatz einer von der Community entwickelten eBPF-Probe, die die Exploit-Primitive blockiert (Dabbleam/CVE-2026-31431-mitigation).
- Vollständige Deaktivierung des Krypto-Subsystems AF_ALG, sofern keine lokalen Dienste die User-Space-Schnittstelle benötigen.
Wir wissen noch nicht, ob der öffentliche Protest von Maintainern wie Sam James eine Neuordnung des Benachrichtigungsprozesses von „linux-distros“ erzwingen wird. Threads auf Hacker News legen zudem nahe, dass bestimmter rechtlicher oder staatlicher Druck diese Haltung ohne Benachrichtigung beeinflusst. Diese Behauptungen sind jedoch unbestätigt (HN).
Unsere Einschätzung
Das Sicherheitsprotokoll des Linux-Kernels passt grundsätzlich nicht zum Tempo moderner offensiver KI-Tools. Von nachgelagerten Maintainern zu erwarten, jeden Mainline-Commit auf stille Sicherheitsfixes zu überwachen, ist eine Illusion. Sie öffnet ein mehrtägiges Zeitfenster für triviale Container-Ausbrüche. Wenn Sie mandantenfähige Workloads auf gemeinsam genutzten Kerneln betreiben, können Sie sich nicht allein auf den Patch-Zyklus Ihrer Distribution verlassen. Setzen Sie sofort die eBPF-Abwehr ein oder deaktivieren Sie das Modul algif_aead.