CopyFail ช่องโหว่ร้ายแรงบน Linux ที่เปิดทางให้แฮกเกอร์ยึดสิทธิ์ Root ได้เกือบทุกเวอร์ชัน
วงการความปลอดภัยไซเบอร์กำลังตื่นตัวอย่างหนักหลังจากมีการเปิดเผยโค้ดสำหรับโจมตีช่องโหว่ร้ายแรงใน Linux Kernel ซึ่งส่งผลกระทบต่อระบบปฏิบัติการ Linux เกือบทุกเวอร์ชัน โดยช่องโหว่นี้ช่วยให้ผู้บุกรุกสามารถยึดสิทธิ์การควบคุมสูงสุดหรือ Root Access ได้อย่างง่ายดาย สร้างความเสี่ยงมหาศาลให้กับทั้งศูนย์ข้อมูล (Data Centers) และอุปกรณ์ส่วนบุคคล
ช่องโหว่ดังกล่าวถูกค้นพบและเปิดเผยโดยทีมนักวิจัยจากบริษัทความปลอดภัย Theori ซึ่งได้แจ้งเรื่องไปยังทีมรักษาความปลอดภัยของ Linux Kernel ล่วงหน้า 5 สัปดาห์ แม้จะมีการออกแพตช์แก้ไขในเวอร์ชัน 7.0, 6.19.12, 6.18.12, 6.12.85, 6.6.137, 6.1.170, 5.15.204 และ 5.10.254 แต่ในความเป็นจริง ผู้ให้บริการ Linux Distribution ส่วนใหญ่ยังไม่ได้นำแพตช์เหล่านี้ไปปรับใช้ในระบบของตน ทำให้ผู้ใช้จำนวนมากยังคงตกอยู่ในความเสี่ยง
เจาะลึก CopyFail: สคริปต์เดียวที่เจาะได้ทุกระบบ
ช่องโหว่นี้มีรหัสอ้างอิงคือ CVE-2026-31431 หรือที่รู้จักในชื่อ CopyFail จัดอยู่ในประเภท Local Privilege Escalation (LPE) หรือการยกระดับสิทธิ์ในเครื่อง ซึ่งหมายถึงการที่ผู้ใช้งานทั่วไปที่ไม่มีสิทธิ์บริหารจัดการระบบ สามารถเปลี่ยนสถานะตัวเองให้กลายเป็นผู้ดูแลระบบ (Administrator) ได้
ความน่ากลัวของ CopyFail คือการที่มันสามารถทำงานได้ผ่านสคริปต์เพียงชุดเดียวโดยไม่ต้องแก้ไขโค้ดให้เหมาะสมกับแต่ละ Distribution ทำให้แฮกเกอร์สามารถใช้โจมตีระบบที่มีผู้ใช้งานร่วมกัน (Multi-tenant systems) เจาะทะลุคอนเทนเนอร์ที่รันบน Kubernetes หรือแม้แต่แทรกซึมผ่านกระบวนการ CI/CD (Continuous Integration/Continuous Deployment) ซึ่งเป็นระบบอัตโนมัติในการพัฒนาซอฟต์แวร์
หากจะอธิบายให้เห็นภาพชัดเจนขึ้น การโจมตีนี้เปรียบเสมือนการที่แฮกเกอร์หาทางเข้าเครื่องได้ในฐานะผู้ใช้ระดับต่ำสุด (เช่น ผ่านช่องโหว่ของปลั๊กอิน WordPress) จากนั้นจึงใช้ CopyFail เพื่อยกระดับตัวเองเป็น Root ภายในเวลาไม่กี่วินาที ซึ่งจะทำให้พวกเขาสามารถอ่านไฟล์ทุกไฟล์ ติดตั้งประตูหลัง (Backdoor) และเข้าถึงข้อมูลของผู้ใช้งานรายอื่นในเครื่องเดียวกันได้ทั้งหมด
สาเหตุทางเทคนิคของช่องโหว่
CopyFail เกิดจากข้อผิดพลาดทางตรรกะ (Logic Flaw) ใน Crypto API ของ Kernel โดยเฉพาะในส่วนของกระบวนการ AEAD template ที่ใช้สำหรับ IPsec ซึ่งแทนที่จะคัดลอกข้อมูลตามปกติ ระบบกลับนำบัฟเฟอร์ปลายทางของผู้เรียกมาใช้เป็นพื้นที่พักข้อมูลชั่วคราว และเขียนข้อมูลเกินขอบเขตที่กำหนดไป 4 ไบต์โดยไม่มีการคืนค่าเดิม ทำให้เกิดช่องว่างให้ผู้โจมตีเข้าแทรกแซงได้
ความแตกต่างของ CopyFail กับช่องโหว่อื่นๆ คือมันไม่ได้พึ่งพา Race Condition (การแย่งชิงจังหวะการทำงานของ CPU) หรือ Memory Corruption ที่มักจะไม่เสถียร แต่เป็นข้อผิดพลาดทางตรรกะที่ทำงานได้อย่างแม่นยำและสม่ำเสมอในทุกสภาพแวดล้อม
| หัวข้อ | รายละเอียด |
|---|---|
| รหัส CVE | CVE-2026-31431 |
| ชื่อเรียก | CopyFail |
| ประเภทช่องโหว่ | Local Privilege Escalation (LPE) |
| ผลกระทบ | ยึดสิทธิ์ Root, เจาะทะลุ Kubernetes Container |
| สาเหตุ | Logic Flaw ใน Crypto API ของ Linux Kernel |
ข้อเท็จจริงสำคัญ
- ความรุนแรงสูง: ผู้เชี่ยวชาญระบุว่าเป็นหนึ่งในช่องโหว่ที่ร้ายแรงที่สุดในรอบหลายปี เทียบเท่ากับ Dirty Pipe (2022) และ Dirty Cow (2016)
- การตรวจพบ: ค้นพบโดยใช้เครื่องมือ Xint ซึ่งเป็น AI-powered code security tool ของ Theori โดยใช้เวลาสแกนเพียง 1 ชั่วโมง
- ปัญหาการประสานงาน: มีการวิจารณ์ว่า Theori เปิดเผยข้อมูลเร็วเกินไปก่อนที่ผู้ให้บริการ Distribution ส่วนใหญ่จะออกแพตช์ ทำให้เกิดช่องว่างที่เรียกว่า "Zero-day patch gap"
- สถานะการแก้ไข: Arch Linux และ RedHat Fedora มีการออกแพตช์แล้ว ส่วน SUSE, RedHat และ Ubuntu ได้ออกคำแนะนำในการบรรเทาผลกระทบ
คำถามที่พบบ่อย
CopyFail แตกต่างจากช่องโหว่ทั่วไปอย่างไร?
ต่างตรงที่เป็นข้อผิดพลาดทางตรรกะ (Logic Flaw) ทำให้สคริปต์โจมตีทำงานได้เสถียร 100% ในทุกเวอร์ชันที่ได้รับผลกระทบ โดยไม่ต้องกังวลเรื่องจังหวะเวลาหรือตำแหน่งหน่วยความจำที่เปลี่ยนแปลงไป
ใครบ้างที่ตกอยู่ในความเสี่ยง?
ผู้ที่ใช้งาน Linux ทุกราย โดยเฉพาะผู้ที่ใช้ระบบ Shared Hosting, คอนเทนเนอร์บน Kubernetes, WSL2 บน Windows หรือระบบ AI Agent ที่มีการเข้าถึง Shell
หากไม่สามารถอัปเดต Kernel ได้ทันทีควรทำอย่างไร?
แนะนำให้ตรวจสอบคำแนะนำในการบรรเทาผลกระทบ (Mitigation Guidance) จากผู้ให้บริการ Distribution ที่ท่านใช้งาน เช่น Ubuntu, SUSE หรือ RedHat เพื่อลดความเสี่ยงเบื้องต้น
ช่องโหว่นี้ช่วยให้แฮกเกอร์เข้าเครื่องจากระยะไกลได้เลยหรือไม่?
ไม่ใช่ CopyFail ไม่ได้ช่วยให้แฮกเกอร์เข้าสู่ระบบได้ในตอนแรก แต่จะทำงานในขั้นตอนถัดมาหลังจากที่แฮกเกอร์สามารถรันโค้ดในเครื่องได้แล้ว เพื่อเปลี่ยนสถานะจากผู้ใช้ธรรมดาให้กลายเป็นผู้ดูแลระบบสูงสุด
