KI-Agent findet Linux-Kernel-Zero-Day in einer Stunde

6 Min. Lesezeit

Ein KI-Agent der Firma Theori hat CVE-2026-31431 am 04.05.2026 in knapp einer Stunde autonom gefunden, einen funktionsfähigen Exploit entwickelt und eine öffentliche Webseite dazu veröffentlicht. CrowdStrike bestätigt aktive Exploitation in freier Wildbahn. CISA hat die Lücke in die Known Exploited Vulnerabilities (KEV) aufgenommen. Betroffene Systeme: alle Linux-Distributionen mit Kernel ab 2017.

Verwandt:CVE-2026-32202: Windows-Patch unvollständig  /  DSGVO-Bußgeld 2026: Bußgeldpraxis für den Mittelstand

Was CVE-2026-31431 technisch ist

Was ist CVE-2026-31431? CVE-2026-31431 ist eine Linux-Kernel-Privilege-Escalation-Schwachstelle im AF_ALG-Interface (Application Framework – Algorithm). Ein lokaler Angreifer mit Shell-Zugang kann über einen kontrollierten Speicherfehler Kernel-Rechte erlangen. Die Lücke betrifft alle Linux-Distributionen mit Kernel ab 2017 und ist seit dem 04.05.2026 auf CISA KEV gelistet.

Der Bug – intern „copyfail“ genannt – kombiniert einen Fehler in der ONC ESN-Komponente mit einem Page-Cache-Write-Primitiv. Angreifer können über die AF_ALG-Schnittstelle einen kontrollierten Speicherfehler auslösen, der Kernel-Rechte eskaliert.

Der öffentliche Proof-of-Concept von Theori ist 732 Zeilen Python. Er funktioniert auf allen Linux-Distributionen, die seit dem Kernel-Update 2017 das AF_ALG-Modul laden – also Debian, Ubuntu, Arch, Red Hat, SUSE und deren Derivate. Ein System ohne dieses Modul ist nicht anfällig, aber die Mehrheit aller Linux-Deployments in Cloud-Umgebungen hat AF_ALG geladen.

Warum die KI-Discovery-Methode relevant ist

Theori hat nicht einfach einen Scanner gebaut. Der Autonomous Agent analysierte den Kernel-Code, identifizierte die Schwachstellenklasse, entwickelte einen Exploit und veröffentlichte die Ergebnisse – alles ohne menschlichen Review-Schritt im Kernprozess. Das dauerte rund eine Stunde.

Das hat zwei Implikationen für DACH-Sicherheitsteams. Erstens: Der Zeitraum zwischen Vulnerability-Entstehung und öffentlichem Exploit wird kürzer. Wenn ein KI-Agent Kernel-Code in 60 Minuten auf ausnutzbare Muster analysieren kann, schrumpft das Patch-Fenster für Zero-Days strukturell. Zweitens: Angreifer nutzen dieselben Techniken. Gray-Market-Einschätzungen für vergleichbare Linux-Local-Privilege-Escalation-Exploits liegen laut Crowdfence-Pricing zwischen 10.000 USD und 7 Millionen USD – der Markt existiert.

„Active exploitation in the wild confirmed. All unpatched Linux systems with AF_ALG enabled are at risk.“
CrowdStrike Threat Intelligence, 04.05.2026

Patch-Stand und unmittelbare Maßnahmen

Die CISA KEV-Aufnahme bedeutet für US-Bundesbehörden eine Patch-Frist. Für DACH-Organisationen ist das keine bindende Verpflichtung, aber ein Signal: Exploitation ist bestätigt, der Exploit ist öffentlich, das Risiko ist real.

Patch-Status der großen Distributionen (Stand: 05.05.2026): Red Hat Enterprise Linux und CentOS Stream haben Updates im Advisory-Kanal. Debian Stable und Ubuntu LTS haben Patches im Staging. Arch und SUSE/openSUSE folgen. Details über die jeweiligen Security-Mailing-Listen der Distributionen.

Systeme ohne sofortige Patch-Möglichkeit können das AF_ALG-Modul deaktivieren: echo „install af_alg /bin/false“ >> /etc/modprobe.d/blacklist.conf. Das verhindert den Exploit, schränkt aber Crypto-Operationen ein, die AF_ALG nutzen. Prüfen, welche Applikationen betroffen sind, bevor der Workaround produktiv gesetzt wird.

Häufige Fragen

Ist CVE-2026-31431 remote ausnutzbar?

Nein. Der Exploit erfordert eine lokale Sitzung oder einen SSH-Foothold. Ein Angreifer muss bereits Zugriff auf das System haben. Remote-Code-Execution über das Netz ist mit diesem CVE allein nicht möglich. Das ändert nichts an der Dringlichkeit: SSH-Zugänge mit schwachen Credentials oder geleakten Keys sind in Cloud-Umgebungen häufig der erste Schritt.

Welche Linux-Versionen sind betroffen?

Alle Distributionen, die das AF_ALG-Kernelmodul laden und einen Kernel ab der Merge-Commit-Reihe von 2017 nutzen. Das betrifft de facto alle modernen Linux-Systeme: Debian Stable, Ubuntu LTS, Red Hat Enterprise Linux, CentOS, Arch, SUSE/openSUSE, Alpine. Verzeichnisse im Kernel-Changelog zeigen Versionen ab 4.14 als anfällig.

Was bedeutet die CISA KEV-Aufnahme für europäische Organisationen?

Direkte rechtliche Bindung: keine. Die KEV-Liste gilt für US-Bundesbehörden. Faktische Bedeutung: erheblich. Eine KEV-Aufnahme zeigt aktive Exploitation – europäische NIS2-pflichtige Organisationen haben ohnehin eine Patch-Pflicht für kritische Sicherheitslücken. Wer NIS2-Meldepflichten hat, sollte CVE-2026-31431 priorisieren und intern dokumentieren, wann gepatcht wurde.

Wie schnell muss gepatcht werden?

Sofort wo möglich. CISA KEV impliziert aktive Exploitation – der Exploit ist öffentlich, CrowdStrike hat Angriffe bestätigt. Systeme mit SSH-Zugang und ohne Patch sind ein kalkulierbares Risiko. Interne Frist: 48 Stunden für produktive Linux-Systeme mit Netzwerkzugang, 7 Tage für isolierte Systeme mit eingeschränktem Zugang.

Was ist der AF_ALG-Workaround und welche Nachteile hat er?

AF_ALG (Application Framework – Algorithm) ist die Kernel-Schnittstelle für Crypto-Operationen. Deaktivieren via Blacklist verhindert den Exploit, aber Applikationen die AF_ALG nutzen – bestimmte TLS-Implementierungen, Disk-Encryption-Schichten, HSM-Anbindungen – verlieren ihre Kernel-Crypto-Beschleunigung oder fallen in User-Space-Fallbacks zurück. Leistungseinbußen möglich. Vor Produktion testen.

Mehr aus dem MBF Media Netzwerk

• cloudmagazin: Container-Image-Diet 2026 – Distroless, Wolfi, Chainguard für DACH DevOps
• MyBusinessFuture: EUDI Wallet ab Pilot-Rollout 2026 – Identity-Infrastruktur für den Mittelstand
• Digital Chiefs: Shadow AI und KI-Governance-Framework für Unternehmen

Quelle Titelbild: Pexels / Markus Spiske

Hier schreibt Alec Chizhik für Sie

Mehr Artikel vom Autor Alec Chizhik