732 Bytes bis Root: Was Sysadmins zu CVE 2026 31431 wissen müssen

732 Bytes Python und ein neun Jahre alter Logikfehler reichen für Root auf nahezu jedem Linux-Server seit 2017. Was Admins jetzt tun müssen.

9. Mai 2026 um 10:00 Uhr / Von Steffen Zahn

CVE-2026-31431 ist eine hochkritische, aktuell aktiv ausgenutzte Linux-Kernel-Schwachstelle. Bild: Thomas Fuller / SOPA Images via Reuters Connect

Ein 732 Byte langes Python Skript – mehr braucht es nicht, um auf praktisch jedem Linux-Server, der seit 2017 ausgeliefert wurde, vom unprivilegierten Nutzer zu Root zu werden. Die Sicherheitsfirma Theori hat am 29. April 2026 zusammen mit ihrem Tochterunternehmen Xint Code die Schwachstelle CVE 2026 31431 veröffentlicht, intern Copy Fail genannt.

Der Logikfehler steckt im Krypto-Subsystem des Linux-Kernels, konkret im Modul algif_aead. Es stellt Userspace-Programmen die Authenticated-Encryption-Funktionen des Kernels bereit, also Verschlüsselung mit integrierter Integritätsprüfung, im Kernel kurz AEAD genannt. Betroffen sind alle Kernel-Versionen ab 4.14 aus dem Jahr 2017 bis 7.0 rc sowie alle 6.18.x vor 6.18.22 und 6.19.x vor 6.19.12. Patches liefern die Versionen 6.18.22, 6.19.12 und 7.0 im Mainline Kernel. Auf der CVSS-Skala, dem branchenüblichen Common-Vulnerability-Scoring-System, liegt der Score bei 7.8 mit dem Vektor AV:L AC:L PR:L UI:N. Das klingt zunächst moderat. In der Praxis ist die Lücke deutlich gefährlicher, als die Zahl vermuten lässt.