Copy Fail (CVE-2026-31431) dan Fragnesia: Celah Root di Kernel Linux

Copy Fail Linux adalah celah eskalasi hak akses lokal di kernel Linux (CVE-2026-31431) yang memungkinkan pengguna biasa menjadi root, dan Fragnesia (CVE-2026-46300) menyusul dengan kelas masalah serupa. Keduanya sudah masuk katalog KEV CISA. Solusi utamanya adalah memperbarui kernel dan melakukan reboot, atau memakai livepatch dari distro Anda.

Ringkasan Copy Fail dan Fragnesia

• Copy Fail: CVE-2026-31431, kerusakan logika pada jalur kripto AEAD (algif_aead/authencesn) yang dapat dijangkau lewat antarmuka AF_ALG. Terdampak: kernel Linux sejak 4.14 yang belum memuat perbaikan. Skor CVSS 7.8 (CVSS 3.1). Masuk KEV 1 Mei 2026. Versi perbaikan menurut NVD: 5.10.254, 5.15.204, 6.1.170, 6.6.137, 6.12.85, 6.18.22, 6.19.12, dan 7.0, ditambah backport oleh masing-masing distro.
• Fragnesia: CVE-2026-46300, kelemahan pada jalur XFRM ESP-in-TCP kernel. Skor CVSS 7.8 (CVSS 3.1, NVD). Diungkap 13 Mei 2026. Masuk KEV 28 Oktober 2026. Versi perbaikan stabil menurut NVD antara lain 5.15.208, 6.1.174, 6.6.141, 6.12.91, 6.18.33, dan 7.0.10.
• Jenis: eskalasi hak akses lokal (local privilege escalation). Penyerang perlu lebih dulu punya akses lokal tanpa hak istimewa.

Cara membaca skor dan kategori ini dijelaskan di Level Kerentanan dan Skor CVSS.

Apa itu celah Copy Fail di kernel Linux

Peneliti Theori menemukan Copy Fail menggunakan platform pengujian berbasis AI miliknya, Xint Code. Akar masalahnya adalah perubahan optimasi tahun 2017 yang membuat kernel memakai ulang buffer masukan di tempat dalam operasi kripto. Dipadukan dengan akses pengguna ke fungsi kripto kernel, pengguna tanpa hak istimewa dapat mengubah page cache dari file yang dapat dibaca, misalnya biner setuid, sehingga hak akses naik menjadi root. Karena perubahan terjadi di page cache, bukan di disk, jejaknya tidak selalu tampak pada file.

Timeline menurut BleepingComputer: dilaporkan ke tim keamanan kernel pada 23 Maret 2026, perbaikan dikomit upstream pada 1 April, dan detail teknis dipublikasikan 29 April 2026. CISA memasukkannya ke KEV pada 1 Mei 2026 dengan tenggat federal 15 Mei, menurut Qualys. Sumber berbeda soal bukti eksploitasi: BleepingComputer saat terbit belum melaporkan eksploitasi, sementara CISA menyebut ada bukti eksploitasi aktif. Pegang status KEV sebagai acuan prioritas, seperti dijelaskan di CISA KEV.

Fragnesia: celah kernel susulan

Fragnesia ditemukan oleh William Bowling dari V12 Security. Bug ini terjadi karena penanda "halaman bersama" hilang saat fragmen TCP digabung, sehingga dekripsi dapat menulis ke page cache file yang seharusnya hanya baca. Catatan penting: tambalan Dirty Frag yang sebelumnya ada tidak memperbaiki celah ini; yang melindungi adalah daftar hitam modul Dirty Frag. CISA mencantumkannya dengan judul "Linux Kernel Missing Initialization of a Variable Vulnerability" pada 28 Oktober 2026.

Entri KEV CISA untuk Fragnesia menyebut celah ini dapat dirangkai dengan PHP2Shell (CVE-2026-109618 dan CVE-2026-109619) untuk menanam web shell PHP lalu menjalankan perintah sebagai root, dan CISA menandai entri ini memerlukan triase forensik. Rincian korban dari rantai tersebut belum dipublikasikan secara resmi. Kaitannya dengan PHP dibahas di artikel PHP2Shell.

Cara memeriksa eksposur dan memitigasinya

1. Daftar host Linux Anda dan versi kernelnya, lalu bandingkan dengan advisori distro. Prioritaskan host multi-pengguna, runner CI/CD, node Kubernetes, dan server yang menjalankan kode pihak ketiga, seperti saran Theori.
2. Perbarui kernel dan reboot. Pembaruan paket kernel baru berlaku setelah reboot. Jika reboot sulit dijadwalkan, periksa apakah distro Anda menyediakan livepatch untuk CVE ini.
3. Mitigasi sementara Copy Fail: nonaktifkan modul algif_aead atau batasi pembuatan soket AF_ALG, sesuai panduan distro. Kebijakan SELinux atau AppArmor membantu bila membatasi akses AF_ALG hanya untuk layanan yang membutuhkan.
4. Mitigasi sementara Fragnesia: bila update belum bisa dipasang, blokir dan keluarkan modul esp4, esp6, dan rxrpc. Daftar hitam Dirty Frag juga melindungi, tetapi tambalan Dirty Frag saja tidak.
5. Triase sebelum reboot jika dicurigai. Karena kerusakan ada di page cache, reboot menghapus bukti. Bila ada indikasi kompromi, amankan data volatil lebih dulu dan periksa perilaku proses, bukan hanya file di disk.

Karena celah lokal hanya berguna setelah penyerang punya pijakan, perketat juga pintu masuknya: patch aplikasi web, batasi akun shell, dan terapkan prinsip hak minimum. Server yang menjalankan aplikasi web dengan celah yang sudah dieksploitasi perlu dianggap berpotensi terkompromi dan diperiksa.

Linimasa singkat

• 23 Maret 2026: Theori melapor ke tim keamanan kernel.
• 1 April 2026: perbaikan Copy Fail dikomit upstream.
• 29 April 2026: detail Copy Fail dipublikasikan; KEV pada 1 Mei 2026.
• 13 Mei 2026: Fragnesia diungkap dengan patch kernel.
• 28 Oktober 2026: CISA menambahkan Fragnesia ke KEV (status per 29 Oktober 2026).

Pertimbangan untuk server bersama, container, dan CI

Celah lokal paling berbahaya di lingkungan tempat banyak pihak menjalankan kode di kernel yang sama. Hosting bersama, node Kubernetes, runner CI/CD, dan platform yang menjalankan kode pelanggan perlu masuk gelombang patch pertama. Bagi tim DevOps, praktiknya: bedakan host bare metal dan VM dari container, karena container tidak memiliki kernel sendiri; perbarui kernel pada node, bukan hanya citra container. Tambahkan juga pembatasan soket AF_ALG lewat profil seccomp atau kebijakan MAC pada beban kerja yang tidak membutuhkannya, sebagai pertahanan berlapis setelah patch.

Baca juga: ArcaneDoor dan Celah Cisco ASA, FTD, serta FMC.

Pertanyaan yang Sering Diajukan

Apakah Copy Fail bisa dieksploitasi dari internet?

Tidak secara langsung. Ini celah lokal, sehingga penyerang harus lebih dulu punya akses tanpa hak istimewa di server, misalnya lewat aplikasi web yang bocor atau akun yang dicuri. Namun setelah itu, hak akses bisa naik menjadi root.

Apakah reboot wajib?

Untuk kernel baru, ya. Alternatifnya adalah livepatch jika tersedia untuk distro dan versi kernel Anda. Mitigasi modul sementara membantu bila reboot harus ditunda.

Apakah container Docker aman dari celah ini?

Tidak otomatis. Container berbagi kernel dengan host, sehingga host dan node Kubernetes yang belum diperbarui tetap berisiko. Theori menyarankan memprioritaskan cluster dan runner CI.

Kesimpulan

Copy Fail dan Fragnesia mengingatkan bahwa celah lokal tetap serius pada server bersama, node container, dan runner CI. Perbarui kernel, reboot atau pakai livepatch, dan terapkan mitigasi modul hanya sebagai jembatan. Untuk memperdalam pengerasan Linux dan pengujian hak akses secara bertanggung jawab, kunjungi kursus Linuxhackingid. Rujukan: catatan Qualys tentang Copy Fail dan FAQ Tenable tentang Fragnesia.