El incidente 'Copy Fail' (CVE-2026-31431) fue una vulnerabilidad de escalada de privilegios local en el kernel de Linux que permitía a un atacante no privilegiado sobrescribir 4 bytes en el page cache de un archivo arbitrario, como un binario setuid-root, para ejecutar código con privilegios de root. La causa raíz técnica residía en una optimización de 2017 en el módulo algif_aead del kernel, que permitía operaciones in-place sin una validación de límites adecuada, resultando en una escritura fuera de límites (scatterwalk_map_and_copy(tmp + 1, dst, assoclen + cryptlen, 4, 1)).
Aunque Cloudflare mantiene un ciclo de actualización de kernel semanal y un despliegue de parches cada cuatro semanas, la corrección para esta vulnerabilidad, aunque disponible en el mainline, aún no había sido backporteada a su línea LTS principal en el momento de la divulgación pública. Esto creó una ventana de vulnerabilidad. Las salvaguardas primarias (actualizaciones regulares del kernel) fallaron en este caso específico debido a la latencia del backport, no a un fallo en el proceso de Cloudflare en sí.
La respuesta de Cloudflare fue ejemplar, demostrando la eficacia de una estrategia de defensa en profundidad. La detección de comportamiento existente, que no dependía de firmas específicas de CVE, identificó el patrón de exploit en minutos durante la validación interna. Esto es crucial, ya que proporciona una capa de protección incluso cuando los parches no están disponibles. Además, la capacidad de desplegar una mitigación quirúrgica en tiempo de ejecución (bpf-lsm) sin necesidad de reinicios fue fundamental para cerrar la ventana de vulnerabilidad rápidamente y sin impacto en el servicio. El primer intento de mitigación (deshabilitar el módulo) falló de forma segura en staging, lo que resalta la importancia de entornos de prueba robustos y la visibilidad de dependencias de API del kernel.