Vulnerabilidad de Linux “Copy Fail” (CVE-2026-31431): acciones de BoxToPlay y recomendaciones para VPS

Vulnerabilidad de Linux “Copy Fail” (CVE-2026-31431): acciones de BoxToPlay y recomendaciones para VPS

Se ha divulgado una nueva vulnerabilidad del kernel de Linux, CVE-2026-31431, también conocida como “Copy Fail”. Se trata de una vulnerabilidad de elevación local de privilegios en la interfaz criptográfica AF_ALG, concretamente en el módulo algif_aead.

En la práctica, esta falla puede permitir que un usuario local sin privilegios de root, que ya pueda ejecutar código o comandos en la máquina, llegue a obtener privilegios de root.

Es importante dejar claro que no es una vulnerabilidad que permita a alguien conectarse a su servidor desde Internet solo porque el puerto de SSH, web o un servidor de juego esté abierto. El atacante debe disponer ya de un método para ejecutar código localmente o lanzar comandos en el sistema mediante otra brecha (por ejemplo, una aplicación web vulnerable, un script malicioso o credenciales robadas).

El riesgo aumenta en entornos multiusuario, como por ejemplo:

• servidores compartidos o mutualizados
• máquinas que ejecutan código de terceros (plugins, scripts, bots, etc.)
• entornos con contenedores (Docker/LXC)
• servidores de juego con extensiones no verificadas
• panels o aplicaciones web capaces de ejecutar comandos del sistema
• servidores VPS utilizados por varios usuarios o expuestos a código no confiable

Medidas ya aplicadas por BoxToPlay

En toda nuestra infraestructura gestionada directamente (nodos de juego, servicios internos, panels y sistemas administrados por nuestro equipo), hemos desplegado una mitigación temporal frente a CVE-2026-31431.

En concreto, hemos:

• bloqueado la carga del módulo de kernel algif_aead
• verificado que no está cargado en memoria en nuestras máquinas
• iniciado una supervisión activa de los kernels de Linux corregidos que publiquen las distribuciones

Nuestros nodos de Minecraft y el resto de infraestructuras administradas directamente por BoxToPlay ya están protegidos por esta mitigación. En cuanto las distribuciones publiquen kernels corregidos y estables, programaremos y aplicaremos las actualizaciones definitivas, con reinicios controlados cuando sea necesario.

Esta mitigación no modifica el funcionamiento normal de los servicios que explotamos y sirve únicamente como capa de protección intermedia mientras preparamos la actualización completa del kernel.

Qué implica para los clientes VPS

Los VPS de BoxToPlay son entornos aislados cuya gestión interna (sistema, paquetes, seguridad dentro del VPS) es responsabilidad del propio cliente.

No podemos intervenir automáticamente dentro de su VPS (instalar paquetes, cambiar configuraciones, reiniciar) sin su consentimiento explícito y sin disponer de acceso.

Si utiliza un VPS Linux, le recomendamos encarecidamente:

• aplicar usted mismo la mitigación temporal, o
• actualizar el kernel de Linux en cuanto su distribución publique una versión corregida

Las indicaciones siguientes están dirigidas a sistemas Debian / Ubuntu.

Aplicar la mitigación temporal (Ubuntu / Debian)

El objetivo es impedir que el módulo algif_aead se cargue y asegurarse de que ya no está presente en memoria.

1. Crear un archivo de configuración para desactivar algif_aead.
2. Descargar el módulo si ya está cargado.
3. Comprobar que no aparece en la lista de módulos.

Ejemplo de sesión (la salida es ilustrativa):

root@demo-vps:~# sudo sh -c 'printf "install algif_aead /bin/false\nblacklist algif_aead\n" > /etc/modprobe.d/disable-algif.conf'
root@demo-vps:~# sudo rmmod algif_aead 2>/dev/null || true
root@demo-vps:~# lsmod | grep algif_aead
root@demo-vps:~# _

Cómo interpretarlo:

• Si lsmod | grep algif_aead no devuelve nada, la mitigación está activa.
• Si algif_aead sigue apareciendo en la salida de lsmod, le recomendamos reiniciar el VPS después de crear /etc/modprobe.d/disable-algif.conf y volver a comprobarlo.

En condiciones normales, esta mitigación no debería afectar a usos habituales como:

• conexiones SSH
• uso de sudo
• ejecución de aplicaciones como Java
• servicios web Apache o Nginx
• bases de datos como MySQL u otros servicios similares

Podría afectar a aplicaciones muy específicas que utilicen directamente la interfaz criptográfica AF_ALG, algo poco común en usos típicos de alojamiento VPS.

Instalar la corrección definitiva (actualización del kernel)

La solución definitiva consiste en instalar un kernel de Linux corregido proporcionado por su distribución y después reiniciar el VPS para arrancar con ese nuevo kernel.

En Debian / Ubuntu, un procedimiento habitual puede verse así (salida abreviada):

root@demo-vps:~# sudo apt update
Get:1 http://... focal InRelease [265 kB]
Get:2 http://... focal-updates InRelease [120 kB]
...
Reading package lists... Done

root@demo-vps:~# sudo apt full-upgrade
Reading package lists... Done
Building dependency tree
...
The following packages will be upgraded:
  linux-image-generic linux-headers-generic ...
Do you want to continue? [Y/n] y
...

root@demo-vps:~# sudo reboot
Connection to demo-vps closed by remote host.
Connection to demo-vps closed.

Puntos clave:

• instale las actualizaciones que ofrezca su distribución, en especial los paquetes linux-image / linux-headers si hay un kernel nuevo disponible
• es imprescindible reiniciar el VPS después de instalar un kernel corregido para que realmente entre en funcionamiento

Le recomendamos consultar la documentación de su distribución para conocer el estado de los parches y programar el reinicio en un horario que se adapte a su actividad.

¿Necesita ayuda?

Nuestro equipo permanece totalmente implicado en este asunto y seguirá el estado de las correcciones del kernel de Linux para mantener nuestra infraestructura al día.

Si dispone de un VPS BoxToPlay y no tiene claro qué pasos seguir, o si tiene dudas sobre el impacto en su caso concreto, puede abrir un ticket de soporte desde su panel. Podremos guiarle paso a paso para verificar la mitigación, planificar la actualización del kernel o revisar configuraciones más complejas.

En BoxToPlay damos mucha importancia a la fiabilidad y la seguridad de su servidor VPS.

Si desea lanzar sus proyectos sobre una base sólida, puede probar nuestro alojamiento VPS con recursos potentes para sus aplicaciones: Prueba gratis tu servidor VPS.