CVE-2026-31431: La Vulnerabilita Linux Che Minaccia la Sicurezza degli Exchange Crypto

Si chiama "Copy Fail". E una vulnerabilita nel kernel Linux scoperta da un ricercatore coreano con l'aiuto dell'intelligenza artificiale. Colpisce ogni server Linux dal 2017 ad oggi. E bastato un file Python di 732 byte per dimostrare che chiunque abbia accesso a un container su un server condiviso puo diventare root sull'intera macchina — in pochi secondi, senza lasciare tracce su disco.

Disclosure pubblica: 29 aprile 2026. Sedici ore dopo era gia su Dread, il Reddit del dark web. Gli exchange crypto — che fanno girare i tuoi fondi su cluster Kubernetes composti da centinaia di container — non hanno ancora completato il deploy della patch.

La domanda e semplice: il tuo exchange e sicuro? La risposta, al momento, e: dipende da quanto velocemente hanno aggiornato il kernel.

Cos'e CVE-2026-31431 "Copy Fail" — Spiegato Senza Tecnicismi

Ogni server Linux ha un kernel — il cuore del sistema operativo. Il kernel di Linux gestisce, tra le altre cose, le operazioni crittografiche interne tramite un'API chiamata AF_ALG. E qui che si nascondeva il bug.

Il problema e in un modulo chiamato authencesn. Attraverso una sequenza di operazioni (AF_ALG -> splice()), un normale utente senza privilegi riesce a scrivere 4 byte in una zona di memoria che non dovrebbe toccare: la page cache, cioe la versione in memoria di qualsiasi file sul sistema.

Il trucco consiste nel puntare quella scrittura al binario su — il programma che permette di diventare superutente. Il file su disco rimane intatto. In memoria, pero, e stato modificato. Lo esegui e ottieni una shell root.

Caratteristiche che lo rendono diverso da quasi qualsiasi altra vulnerabilita:

• 🎯 100% affidabile — nessuna race condition, funziona sempre
• 👣 Zero tracce su disco — il file non viene mai toccato, i forensics trovano tutto pulito
• 📦 732 byte di Python puro — librerie standard, nessuna dipendenza esterna
• 🖥 Portabile — stesso script su Ubuntu, Amazon Linux, RHEL, SUSE
• 📅 Presente dal 2017 — quasi un decennio nel kernel, inosservata

La scoperta porta la firma di Taeyang Lee del team Xint Code (Theori), che ha usato un'analisi assistita da AI per identificare il pattern in circa un'ora. Il codice PoC e pubblico su GitHub. Il sito ufficiale e copy.fail.

Come Colpisce gli Exchange Crypto — Kubernetes e Container Escape

Binance, Coinbase, Kraken, OKX, tutti gli exchange crypto di dimensioni medie e grandi usano Kubernetes — una piattaforma che organizza migliaia di container (ambienti isolati) su cluster di server fisici. L'isolamento tra i container e garantito dal kernel Linux sottostante.

Ed e proprio qui che CVE-2026-31431 diventa devastante.

La page cache e condivisa a livello di host. Se sei dentro un container su un nodo Kubernetes, la vulnerabilita non ti ferma ai confini del container: modifichi la page cache dell'host, diventi root sull'host, e da li hai accesso a tutti gli altri container sul medesimo nodo — inclusi quelli che custodiscono le chiavi private dei wallet.

Scenario di attacco realistico su un exchange:

1. Un attaccante ottiene accesso a un container (via vulnerabilita web, insider threat, o supply chain attack su una dipendenza)
2. Esegue lo script da 732 byte — impiega pochi secondi
3. Diventa root sull'host Kubernetes
4. Accede ai secret Kubernetes, agli altri container del nodo, alle chiavi crittografiche
5. Drena i wallet

Gli Exchange Sono Vulnerabili? Lo Stato delle Patch

La patch ufficiale e stata integrata nel kernel Linux mainline il 1 aprile 2026 (commit a664bf3d603d), quasi un mese prima della disclosure pubblica. Le versioni sicure del kernel sono:

• 6.18.22 o superiore
• 6.19.12 o superiore
• 7.0 o superiore

I kernel testati come vulnerabili includono:

• Ubuntu 24.04 LTS — kernel 6.17.0-1007-aws
• Amazon Linux 2023 — kernel 6.18.8-9.213.amzn2023
• RHEL 10.1 — kernel 6.12.0-124.45.1.el10_1
• SUSE 16 — kernel 6.12.0-160000.9-default

Il problema reale per gli exchange e che gli aggiornamenti del kernel in produzione non avvengono in tempo reale. Un exchange con standard di sicurezza normali aggiorna i kernel ogni 4-8 settimane. Questo significa che anche oggi, 30 aprile 2026, una parte significativa dei server di produzione nel settore crypto gira ancora su versioni vulnerabili.

La Prima Grande Vulnerabilita Linux Scoperta dall'AI

CVE-2026-31431 non e stata trovata da un ricercatore che leggeva codice per mesi. E stata identificata da Taeyang Lee usando un sistema di analisi AI in circa un'ora di sessione.

Nel post Dread dove la vulnerabilita e apparsa 16 ore dopo la disclosure pubblica, un utente con 18.000 punti e 8 anni di storia sul forum ha scritto:

"Odio l'AI slop ma questo e 100% una vulnerabilita reale e grave. Di fatto e evidenza che il rilevamento vulnerabilita via AI sta diventando una minaccia reale. Potremmo vedere una terza ondata di vulnerabilita man mano che le persone iniziano ad analizzare il kernel con AI."

Theori ha gia confermato che la stessa scansione AI ha identificato altri bug ad alta severita nel kernel, attualmente in coordinated disclosure.

Cosa Fare Adesso — Come Proteggere i Tuoi Fondi

Se sei un utente di exchange crypto:

• ✅ Diversificare: non tenere tutti i fondi su un singolo exchange
• ✅ Self-custody: per importi significativi, considera un hardware wallet (Ledger, Trezor, Coldcard)
• ✅ Monitorare le comunicazioni dell'exchange nelle prossime ore/giorni
• ✅ 2FA robusto: usa una chiave hardware (YubiKey) o TOTP app, non SMS

Se sei un operatore di exchange o infrastruttura crypto:

• 🚨 Aggiorna subito a kernel >= 6.18.22, 6.19.12 o 7.0
• 🚨 Verifica l'output di uname -r su ogni nodo del cluster
• 🚨 Controlla la presenza di authencesn con lsmod | grep authencesn

Domande Frequenti su CVE-2026-31431

Segugio Giornalista investigativo crypto. Monitora intel dal dark web, sicurezza degli exchange e forensics on-chain. Le fonti non vengono mai rivelate.

Related: Best Exchanges 2026 | MiCA Compliance 2026