SecBoard
Zurück zur Übersicht
Hoch52 / 100Konfidenz: Hoch
In CISA KEVCVSS7.8EPSS3 %Ohne Zutun des Nutzers

Betroffene Linux-Distributionen identifizieren, Herstellerpatches priorisiert einspielen und lokale Privilegieneskalationsereignisse überwachen.

▸Herleitung der Bewertung(4)

Wie der Wert zustande kommt

  • Im CISA-KEV-Katalog: CVE-2026-31431+25
  • Hoechster CVSS-Basiswert 7.8+14
  • Wird laut Meldung tatsaechlich ausgenutzt: actively exploited, active exploitation+12
  • EPSS 3.4 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+1

Woraus sich die Konfidenz ergibt

  • 5 unabhaengige Herausgeber berichten den Sachverhalt
  • Darunter eine behoerdliche Primaerquelle
  • Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik

CISA Adds Actively Exploited Linux Root Access Bug CVE-2026-31431 to KEV

The Hacker News·
Originalartikel lesen bei The Hacker News

hat die Sicherheitslücke CVE-2026-31431, die verschiedene Linux-Distributionen betrifft und eine lokale Privilegienescalation ermöglicht, zu seiner Known Exploited Vulnerabilities-Katalog hinzugefügt. Die Lücke wird aktuell in der Wildnis ausgenutzt. Benutzer sollten dringend ein Patch installieren, sobald dieser verfügbar ist, um mögliche Angriffe abzuwehren.

SecBoard-Einordnung

Die Aufnahme in den KEV-Katalog und aktive Ausnutzung erhöhen die Dringlichkeit, betroffene Systeme zu identifizieren und zu patchen.

Realistisch schlimmster Fall: Ein lokaler Angreifer nutzt CVE-2026-31431 aus, um Root- oder vergleichbare erhöhte Rechte auf einem betroffenen Linux-System zu erlangen.

Im erfassten Bestand

  • ▸CVE-2026-31431 kommt damit in 4 erfassten Meldungen der letzten 90 Tage vor.
  • ▸CVE-2026-31431 stand zum Zeitpunkt dieser Meldung seit 2 Tagen im KEV-Katalog der CISA.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts

 

CVE-2026-31431CISA KEV
CVSS
7.8 · HIGH
EPSS
3.4%
Über das Netz
nein
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-05-01
Patch
unbekannt

Betroffen

Verschiedene Linux-Distributionen

Hersteller

LinuxRedhat

Produkte

KernelLinux KernelOpenshift Container Platform
▸ CPE-Rohbezeichner anzeigen (8)
  • cpe:2.3:a:redhat:openshift_container_platform:*:*:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:7.0:rc1:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:7.0:rc2:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:7.0:rc3:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:7.0:rc4:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:7.0:rc5:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:7.0:rc6:*:*:*:*:*:*

Prüfen

3
  • ▸Asset-Inventar nach betroffenen Linux-Distributionen und verwundbaren Paket-/Kernelständen durchsuchen.
  • ▸Prüfen, ob Patches oder Mitigations für CVE-2026-31431 angewendet wurden.
▸ 1 weitere
  • ▸Detektionslogik für unerwartete lokale Rechteausweitung und verdächtige Root-Aktivität testen.

Offene Punkte

4
▸ anzeigen
  • ▸Betroffene Distributionen nicht namentlich im Artikel angegeben
  • ▸Technische Ursache nicht im Artikel angegeben
  • ▸Exploit-Details nicht im Artikel angegeben
  • ▸Patch-Verfügbarkeit je Distribution nicht im Artikel angegeben

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen
  • Initial Access möglich?Unklar
  • Privilege Escalation relevant?Ja
  • Exploit öffentlich verfügbar?Ja
  • Detection / Logging prüfbar?Möglich
  • Für Purple-Team-Szenario geeignet?Unklar

Kundenfragen

  • Sind wir hiervon betroffen — und können wir es detektieren?

MITRE ATT&CK(1)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1068Exploitation for Privilege Escalationzugeordnet

„Der Artikel nennt CVE-2026-31431 als lokale Privilegieneskalation, die aktiv ausgenutzt wird.“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Verlauf der Belege

Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.

  1. The Hacker NewsKontext
    New Linux 'Copy Fail' Vulnerability Enables Root Access on Major Distributions
  2. CERT-EUKontext
    2026-005: High Vulnerability in the Linux Kernel ("Copy Fail")
  3. CISA Current ActivityPrimärbeleg
    CISA Adds One Known Exploited Vulnerability to Catalog
  4. Unit 42Technischer Beleg
    Copy Fail: What You Need to Know About the Most Severe Linux Threat in Years
  5. GitHub TrendingFrüherkennung
    Copy-Fail-CVE-2026-31431-Kubernetes-PoC — PoC: fully unprivileged container escape to node-level code execution on Kubernetes via CVE-2026-31431 page-cache corruption + shared image layers. Validated on Alibaba Cloud ACK and Amazon EKS.

Der Vorgang wird seit 6 Tagen berichtet.

Quellen & Belege· 5 unterschiedliche Quellen

CISA Current ActivityPrimärbelegPUBLICZuverlässigkeit A

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

Unit 42Technischer BelegPUBLICZuverlässigkeit B

Frei veroeffentlichte Forschung eines Sicherheitsanbieters — nachpruefbare Technik, aber eigenes Vermarktungsinteresse. Kein bezogener Feed, deshalb PUBLIC statt COMMERCIAL_TI.

The Hacker NewsKontextPUBLICZuverlässigkeit Cdiese Meldung

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

CERT-EUKontextUNKNOWN

Quelle nicht eingeordnet.

GitHub TrendingFrüherkennungPUBLIC

Nutzer-/popularitaetsgetriebene Sammlung, Zuverlaessigkeit je Beitrag verschieden.

  • Mindestens eine Quelle ist noch nicht nach Herkunftsklasse eingeordnet.
  • Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

CVE-Profile

CVE-2026-31431
Vollständigen Artikel lesen bei The Hacker News