当前位置：首页>Linux>Linux 两周内连爆两个近年来最严重漏洞!你的服务器还安全吗?

Linux 两周内连爆两个近年来最严重漏洞!你的服务器还安全吗?

2026-10-11 07:43:40

Linux 两周内连爆两个"近年来最严重"漏洞！你的服务器还安全吗？

作者：数据织梦·星期五 | 2026-05-15

如果你只管理 Linux 服务器，这篇文章值得你花 5 分钟看完。

过去两周，Linux 内核连续爆出两个足以让所有系统管理员失眠的漏洞。安全圈的老朋友 Hyunwoo Kim（就是之前搞出 Dirty Pipe 的那位大佬）再次出手，先后挖出了 Copy.Fail 和 DirtyFrag 两个本地提权漏洞。

两个漏洞都能让一个普通用户直接拿到 root 权限。

这意味着什么？意味着你的容器隔离、多租户环境、CI/CD 流水线——所有你以为安全的边界——全都不存在了。

🔴 第一个：Copy.Fail（algif_aead 提权漏洞）

漏洞本质

Copy.Fail 出在 Linux 内核的 algif_aead 模块里。这个模块负责处理加密 API 的用户空间接口。问题出在内存拷贝时的一个边界检查错误——攻击者可以精心构造输入，触发内核内存损坏，最终实现从普通用户到 root 的完整提权。

影响范围

▪所有主流发行版：Ubuntu、Debian、RHEL/CentOS、AlmaLinux、Rocky Linux、Fedora、Arch

▪企业版 Linux 风险更高：因为 algif_aead 在企业版内核中是内置模块（built-in），无法通过卸载模块来缓解

▪容器环境首当其冲：共享内核的 Kubernetes 节点、Docker 主机、WSL2 实例

为什么这次特别危险？

Bruce Schneier 直接评价这是"近年来最严重的 Linux 漏洞"。原因有三：

①"本地"这个词已经不够准确了。2026 年的"本地"意味着：容器里的一个进程、CI/CD 跑的一个 PR、共享主机上的一个租户——攻击者不需要物理接触你的机器。

②补丁泄露导致 Exploit 提前公开。漏洞原本在 embargo 期间被负责任地披露，但有人通过分析补丁 commit，瞬间识别出这和 Copy.Fail 是同一类问题，然后在补丁还没推到各发行版之前，就写出了新的 exploit 代码。

③Hyunwoo Kim 的命中率。这位研究者之前发现的 Dirty Pipe（CVE-2022-0847）影响了数百万台服务器。这次他再次出手，社区不敢掉以轻心。

🟠 第二个：DirtyFrag（碎片内存损坏漏洞）

漏洞本质

DirtyFrag 是 Copy.Fail 的"兄弟漏洞"——同样的漏洞类型，出现在三个不同的内核模块中：

▪esp4 — IPv4 IPsec 封装安全载荷

▪esp6 — IPv6 IPsec 封装安全载荷

▪rxrpc — 远程过程调用协议

CVE 编号待定（AlmaLinux 已确认预留了 CVE-2026-43500 系列编号）。

影响范围

和 Copy.Fail 类似，但有一个关键区别：

企业版 Linux 通常不内置这三个模块，所以所有发行版都可以通过卸载模块来紧急缓解，不需要重启。

但代价是：IPsec VPN（如 StrongSwan）和 AFS 分布式文件系统会失效。

🛡️ 紧急缓解措施

Copy.Fail 缓解（需要重启）

# RHEL/CentOS/Alma/Rocky 系统 grubby --update-kernel=ALL --args="initcall_blacklist=algif_aead_init" reboot  # 验证是否生效cat /proc/cmdline | grep initcall_blacklist

DirtyFrag 缓解（无需重启）

# 1. 卸载受影响模块（会中断 IPsec VPN） rmmod esp4 esp6 rxrpc  # 2. 禁止模块自动加载 sh -c "printf &#x27;install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n&#x27; > /etc/modprobe.d/dirtyfrag.conf"# 3. 验证模块已卸载 lsmod | grep -E "esp4|esp6|rxrpc"# 应该没有输出

根本解决方案：升级内核

# Ubuntu/Debiansudo apt update && sudo apt upgrade linux-image-generic sudo reboot  # RHEL/CentOS/Alma/Rockysudo dnf update kernel sudo reboot  # 验证内核版本uname -r

AlmaLinux 已经发布了补丁，其他发行版的补丁也在紧急推送中。建议密切关注你所用发行版的安全公告。

🔍 如何检查你的服务器是否受影响

一键检查脚本

#!/bin/bashecho"=== Linux 内核安全检查 ==="echo""# 1. 检查内核版本 KERNEL=$(uname -r) echo"[*] 当前内核: $KERNEL"# 2. 检查 algif_aead 模块状态if lsmod | grep -q algif_aead; thenecho"[!] algif_aead 模块已加载 — 可能受 Copy.Fail 影响"elseecho"[+] algif_aead 模块未加载"fi# 3. 检查内核启动参数ifcat /proc/cmdline | grep -q "initcall_blacklist=algif_aead_init"; thenecho"[+] Copy.Fail 缓解已生效"elseecho"[!] Copy.Fail 缓解未生效 — 建议执行 grubby 命令"fi# 4. 检查 DirtyFrag 相关模块for mod in esp4 esp6 rxrpc; doif lsmod | grep -q $mod; thenecho"[!] $mod 模块已加载 — 可能受 DirtyFrag 影响"fidone# 5. 检查 modprobe 配置if [ -f /etc/modprobe.d/dirtyfrag.conf ]; thenecho"[+] DirtyFrag 缓解配置已存在"elseecho"[!] DirtyFrag 缓解未配置"fiecho""echo"=== 检查完成 ==="

保存为 check-kernel-security.sh，执行 bash check-kernel-security.sh。

💡 几个关键建议

1. 不要等，立即行动

这两个漏洞的 exploit 代码已经在流传。攻击者不需要零日——公开的 PoC 就足够用了。如果你的服务器暴露在内网或云上，风险是真实存在的。

2. 容器环境优先处理

Kubernetes 集群、Docker 主机、WSL2 实例——这些环境的"本地"概念已经被模糊化了。一个容器内的低权限进程，通过这两个漏洞可以逃逸到宿主机 root。

3. 关注你的发行版安全公告

▪AlmaLinux: 已发布补丁

▪Ubuntu: 关注 USN 公告

▪RHEL: 关注 RHSA 公告

▪Debian: 关注 DSA 公告

4. 建立内核更新自动化

# Ubuntu 自动安全更新sudo apt install unattended-upgrades sudo dpkg-reconfigure -plow unattended-upgrades  # RHEL/CentOS 自动更新sudo dnf install dnf-automatic sudo systemctl enable --now dnf-automatic.timer

5. 考虑纵深防御

即使打了补丁，也应该部署额外的安全措施：

▪SELinux/AppArmor：限制进程能力

▪seccomp：限制容器内的系统调用

▪Pod Security Admission：K8s 层面禁止特权容器

▪审计规则：监控可疑的提权行为

# 添加内核安全审计规则 auditctl -a always,exit -F arch=x86_64 -S execve -k kernel_exploit ausearch -k kernel_exploit

📌 总结

两周内，两个内核级提权漏洞。一个影响所有内置 algif_aead 的企业系统，一个通过 IPsec 模块影响更广。这不是巧合——Linux 内核的代码复杂度正在成为安全风险的放大器。

你的行动清单：

优先级	操作	预计耗时
🔴 P0	运行检查脚本，确认受影响	1 分钟
🔴 P0	应用 DirtyFrag 缓解（无需重启）	2 分钟
🟠 P1	应用 Copy.Fail 缓解（需重启）	5 分钟
🟡 P2	升级内核到补丁版本	10 分钟
🟢 P3	部署纵深防御措施	按需