CẢNH BÁO BẢO MẬT: Vá lỗ hổng Kernel “Copy-Fail” (CVE-2026-31431) trên hệ thống VPS

Một lỗ hổng bảo mật nghiêm trọng trong Linux kernel có mã CVE-2026-31431, còn được gọi là Copy Fail, đã được công bố. Đây là lỗi leo thang đặc quyền cục bộ, có thể cho phép một tài khoản user thường trên VPS nâng quyền lên root nếu khai thác thành công. Lỗ hổng liên quan đến thành phần algif_aead / AF_ALG trong kernel Linux và được đánh giá mức High, CVSS 7.8. (Ubuntu)

Lỗ hổng này đặc biệt đáng chú ý với các VPS có nhiều user, hosting nhiều website, container, CI/CD runner, hoặc môi trường có khả năng chạy mã không hoàn toàn tin cậy. Với môi trường container, lỗ hổng có thể làm tăng rủi ro trong các kịch bản thoát container nếu workload không tin cậy được phép chạy lệnh trong hệ thống. (Ubuntu)

Khách hàng cần làm gì?

Quý khách đang sử dụng AlmaLinux, Ubuntu, Debian, Rocky Linux hoặc các hệ điều hành Linux khác nên cập nhật hệ thống và khởi động lại VPS trong thời gian sớm nhất.

AlmaLinux

AlmaLinux đã phát hành kernel vá lỗi lên production repository cho các bản được hỗ trợ. Quý khách chạy:

sudo dnf clean metadata
sudo dnf upgrade -y
sudo reboot

sudo dnf clean metadata
sudo dnf upgrade -y
sudo reboot

Sau khi VPS khởi động lại, kiểm tra kernel đang chạy:

uname -r

uname -r

Các phiên bản kernel đã vá theo AlmaLinux:

AlmaLinux 8:  kernel-4.18.0-553.121.1.el8_10 trở lên
AlmaLinux 9:  kernel-5.14.0-611.49.2.el9_7 trở lên
AlmaLinux 10: kernel-6.12.0-124.52.2.el10_1 trở lên

AlmaLinux 8:  kernel-4.18.0-553.121.1.el8_10 trở lên
AlmaLinux 9:  kernel-5.14.0-611.49.2.el9_7 trở lên
AlmaLinux 10: kernel-6.12.0-124.52.2.el10_1 trở lên

AlmaLinux khuyến nghị cập nhật trực tiếp từ repository production bằng dnf clean metadata && dnf upgrade, sau đó reboot để kernel mới có hiệu lực. (AlmaLinux OS)

Ubuntu

Với Ubuntu, Canonical đã phát hành bản cập nhật kmod để vô hiệu hóa module bị ảnh hưởng trong lúc kernel package vá lỗi đầy đủ được phân phối. Quý khách nên cập nhật toàn bộ hệ thống:

sudo apt update
sudo apt upgrade -y
sudo reboot

sudo apt update
sudo apt upgrade -y
sudo reboot

Nếu chưa thể cập nhật toàn bộ hệ thống, tối thiểu hãy cập nhật kmod:

sudo apt update
sudo apt install --only-upgrade kmod
sudo reboot

sudo apt update
sudo apt install --only-upgrade kmod
sudo reboot

Có thể kiểm tra kernel và gói kmod đang cài bằng:

uname -r
dpkg -l 'linux-image*' | grep ^ii
dpkg -l kmod

uname -r
dpkg -l 'linux-image*' | grep ^ii
dpkg -l kmod

Ubuntu cho biết các bản trước Ubuntu 26.04 Resolute bị ảnh hưởng, trong khi Ubuntu 26.04 không bị ảnh hưởng; các bản Ubuntu 22.04 LTS, 24.04 LTS và 25.10 có bản cập nhật kmod tương ứng. (Ubuntu)

Debian

Với Debian, Quý khách nên cập nhật toàn bộ hệ thống từ security repository:

sudo apt update
sudo apt upgrade -y
sudo reboot

sudo apt update
sudo apt upgrade -y
sudo reboot

Sau khi reboot, kiểm tra kernel đang chạy và các kernel package đã cài:

uname -r
dpkg -l 'linux-image*' | grep ^ii

uname -r
dpkg -l 'linux-image*' | grep ^ii

Theo Debian Security Tracker, các bản vá đã được ghi nhận cho nhiều nhánh Debian, bao gồm:

Debian 11 Bullseye: linux 5.10.251-3 hoặc linux-6.1 6.1.170-1~deb11u1 trở lên
Debian 12 Bookworm: linux 6.1.170-1 trở lên
Debian 13 Trixie:   linux 6.12.85-1 trở lên
Debian Forky:       linux 6.19.14-1 trở lên
Debian Sid:         linux 7.0.3-1 trở lên

Debian 11 Bullseye: linux 5.10.251-3 hoặc linux-6.1 6.1.170-1~deb11u1 trở lên
Debian 12 Bookworm: linux 6.1.170-1 trở lên
Debian 13 Trixie:   linux 6.12.85-1 trở lên
Debian Forky:       linux 6.19.14-1 trở lên
Debian Sid:         linux 7.0.3-1 trở lên

Nếu VPS Debian chưa nhận được kernel mới, Quý khách cần kiểm tra lại cấu hình repository, đặc biệt là security repository, sau đó chạy lại cập nhật. (Theo dõi lỗi bảo mật Debian)

Rocky Linux

Với Rocky Linux, Quý khách nên cập nhật kernel và toàn bộ các gói liên quan:

sudo dnf clean metadata
sudo dnf update -y 'kernel*'
sudo reboot

sudo dnf clean metadata
sudo dnf update -y 'kernel*'
sudo reboot

Sau khi VPS khởi động lại, kiểm tra kernel đang chạy:

uname -r
rpm -q kernel

uname -r
rpm -q kernel

CIQ ghi nhận CVE-2026-31431 ảnh hưởng rộng đến Rocky Linux 8, 9, 10 và các biến thể LTS; khuyến nghị chính là cài kernel đã vá bằng dnf update kernel rồi reboot. Với một số biến thể Rocky Linux LTS, CIQ đã công bố các phiên bản kernel vá lỗi cụ thể. (CIQ Knowledge Base)

Trong trường hợp chưa thể cập nhật kernel ngay, Rocky Linux/RHEL-family có thể dùng biện pháp giảm thiểu tạm thời bằng kernel boot parameter:

sudo grubby --update-kernel=ALL --args="initcall_blacklist=algif_aead_init"
sudo reboot

sudo grubby --update-kernel=ALL --args="initcall_blacklist=algif_aead_init"
sudo reboot

Kiểm tra sau khi reboot:

grep initcall_blacklist /proc/cmdline

grep initcall_blacklist /proc/cmdline

Sau khi đã cập nhật kernel vá lỗi, gỡ biện pháp tạm thời:

sudo grubby --update-kernel=ALL --remove-args="initcall_blacklist=algif_aead_init"
sudo reboot

sudo grubby --update-kernel=ALL --remove-args="initcall_blacklist=algif_aead_init"
sudo reboot

Lưu ý: với các hệ thuộc RHEL-family như Rocky Linux, AlmaLinux, CloudLinux, cách blacklist bằng modprobe.d hoặc rmmod algif_aead có thể không hiệu quả vì algif_aead thường được build trực tiếp vào kernel, không phải module rời. (CIQ Knowledge Base)

Lưu ý quan trọng

Lỗi này không phải lỗi đăng nhập SSH từ xa trực tiếp, nhưng vẫn rất nguy hiểm nếu VPS đã có user thường, website bị chiếm quyền, mã độc chạy trong tài khoản hosting, hoặc container/app có khả năng thực thi lệnh.

Quý khách không nên tự chạy các mã PoC/exploit được chia sẻ trên Internet để “kiểm tra thử” trên VPS production.

Nếu VPS thuộc gói quản trị của BNIX, đội kỹ thuật sẽ hỗ trợ kiểm tra và cập nhật theo chính sách dịch vụ. Với VPS tự quản trị, Quý khách vui lòng chủ động cập nhật theo hướng dẫn trên hoặc liên hệ bộ phận kỹ thuật nếu cần hỗ trợ.

Khuyến nghị: cập nhật hệ thống và khởi động lại VPS trong thời gian sớm nhất để kernel/module mới có hiệu lực.