CopyFail: el fallo crítico de Linux que permite a los hackers tomar el control total del sistema
Un fallo crítico en el núcleo de Linux, bautizado como CopyFail (CVE-2026-31431), está siendo explotado activamente por atacantes y afecta a prácticamente todas las grandes distribuciones construidas desde 2017. El CERT-EU Advisory 2026-005 publicó su alerta el 30 de abril, y la agencia estadounidense CISA lo incluyó en su catálogo de vulnerabilidades activamente explotadas el 1 de mayo, obligando a las agencias federales a parchear antes del 15 de mayo.
El fallo
CopyFail reside en el módulo del núcleo `algif_aead`, parte de la API criptográfica `AF_ALG`. Un error de lógica en el tratamiento de copias de datos permite a cualquier usuario sin privilegios escalar hasta permisos de administrador (root) mediante un exploit de apenas 732 bytes. El problema ha sido confirmado en Red Hat Enterprise Linux 10.1, Ubuntu 24.04 LTS, Amazon Linux 2023, SUSE 16, Debian, Fedora y entornos Kubernetes. La puntuación CVSS es de 7,8 (alto).
El parche para el núcleo principal fue comprometido el 1 de abril de 2026, pero la integración en los distintos distribuidores avanza a ritmo desigual: algunos sistemas siguen siendo vulnerables mientras los fabricantes completan sus actualizaciones.
El riesgo es especialmente elevado en entornos con contenedores: la caché de páginas compartida del núcleo permite que un ataque cruce los límites del contenedor y comprometa el host completo, lo que pone en jaque infraestructuras multiinquilino en plataformas de nube.
El impacto en España
Para operadores y administraciones en España, la situación tiene implicaciones regulatorias directas. Telefónica, Vodafone España y los centros de datos públicos que ejecutan clústeres Kubernetes deben evaluar de inmediato si sus kernels están parcheados. Si se confirma una explotación, las reglas de notificación del artículo 33 del RGPD —supervisadas por la AEPD— obligan a comunicar la brecha a la autoridad de control en un plazo de 72 horas.
Los sectores financiero y sanitario que operan infraestructura en la nube basada en Linux afrontan un riesgo regulatorio adicional si los parches se retrasan más allá de los plazos marcados por los proveedores. El acceso cruzado a datos entre espacios de trabajo de distintos clientes que habilita este fallo convierte cualquier demora en una exposición de datos potencialmente notificable.
Qué hacer ahora
La prioridad es aplicar el parche del núcleo en cuanto el distribuidor lo publique. CERT-EU recomienda comenzar por los nodos Kubernetes y los entornos de integración continua (CI/CD), que son los vectores de mayor riesgo. Mientras el parche no esté disponible, se aconseja restringir el acceso local a sistemas críticos y monitorizar la actividad inusual del módulo `algif_aead`. Los administradores de sistemas deben consultar los canales de seguridad de su distribución para conocer el estado exacto de la actualización.
