Linux内核漏洞风波:发行版为何被蒙在鼓里

CVE-2026-31431 · Linux 内核高危漏洞披露风波

2026 年 4 月底，一个编号 CVE-2026-31431、绰号 「CopyFail」 的 Linux 内核本地提权漏洞悄然公开。漏洞本身很严重，但更让安全社区炸锅的，是它背后暴露的一个老问题：Linux 内核修了漏洞、发了 CVE，但各大发行版压根不知道。

漏洞本身：一个存在近十年的炸弹

CopyFail 的根源在于 Linux 内核的 AF_ALG 套接字接口——一个 2017 年（内核 4.14）引入的加密 API，允许用户态程序直接调用内核加密功能。它的初衷是好的：给嵌入式设备、硬件加速卡提供统一接口。但它的问题也很明显：

具体漏洞模块是 authencesn——一个 IPsec 实现细节，原本只应在内核内部使用，却被 AF_ALG 暴露给了无权限的用户态程序。内核密码学研究者直接评价：「AF_ALG 从一开始就不该存在，它暴露了一个庞大的攻击面，而实际使用者寥寥无几——除了 exploit。」

披露流程：发行版被完全跳过

按照正常的安全漏洞协调披露流程，补丁就绪前应给下游发行版留出「禁运期（embargo）」，让他们提前打包好补丁，漏洞公开时用户能同步安装。但 Linux 内核的流程不是这样的。

Gentoo 开发者 Sam James 在 oss-security 邮件列表公开炮轰，并附上了一段关键引用：

Note that for Linux kernel vulnerabilities, unless the
reporter chooses to bring it to the linux-distros ML,
there is no heads-up to distributions.

It did not happen here.
        -- Sam James, Gentoo Developer

Greg KH 的回应：被法律锁住了手脚

Linux 内核稳定版维护者 Greg Kroah-Hartman 亲自在邮件列表回应，解释了内核安全团队为什么无法提前通知任何发行版：

白话翻译：内核安全团队受到法律和政府机构的约束——如果要提前告知 A，就必须同时告知所有人；但全球有数百个活跃发行版，其中不乏安全薄弱环节，提前告知所有人反而可能放大泄露风险。规则只能是：谁都不提前告知。

技术层面：AF_ALG 就不该存在？

HN 上这场讨论还引出了对 AF_ALG 本身的质疑。内核密码学开发者给出了明确判断：

更深的问题：内核与发行版之间的协调空白

这次事件让一个长期被回避的结构性矛盾再次浮出水面：Linux 内核上游与下游发行版之间，没有任何制度化的漏洞协调机制。

有 HN 用户一针见血：「停止指责漏洞报告者。Linux 内核早就不是玩具项目了，背后有大量全职员工，是时候建立通知发行版的流程了。」

另一个现实困境是：全球有数百个活跃 Linux 发行版，要逐一提前通知既不现实，又可能扩大泄露面。但完全不通知的代价，就是 CVE 公开时大量服务器毫无防备地暴露给攻击者。

📅 2026年5月1日 · 整理自 oss-security ML / Hacker News