ثغرة RefluXFS (CVE-2026-64600): تهديد خطير لـ 16.4 مليون نظام لينكس

ثغرة RefluXFS (CVE-2026-64600) هي ثغرة تصعيد صلاحيات محلية عالية الخطورة في نواة لينكس، وتحديدًا في نظام ملفات XFS. تم اكتشافها ونشر تفاصيلها من قبل فريق أبحاث التهديدات في Qualys في 22 يوليو 2026 . تسمح هذه الثغرة لأي مستخدم محلي غير مميز بالحصول على صلاحيات الجذر (root) عن طريق استغلال حالة سباق (race condition) في مسار النسخ عند الكتابة (copy-on-write) في نظام XFS . تشير التقديرات إلى أن الثغرة تؤثر على حوالي 16.4 مليون نظام حول العالم، ولا تتطلب أي صلاحيات خاصة أو إعدادات غير افتراضية لاستغلالها .

كيف تعمل ثغرة RefluXFS

الخلل هو حالة سباق (race condition) توجد في دالتي المساعدة داخل النواة: xfs_reflink_fill_cow_hole و xfs_reflink_fill_delalloc . عندما تقوم هاتان الدالتان بتدوير قفل inode (ILOCK) الخاص بـ XFS للحصول على معاملة (transaction)، فإن التخطيطات (mappings) لكل من فرع البيانات (data fork) وفرع النسخ عند الكتابة (CoW fork) تصبح غير محدثة (stale) . على الرغم من أن تخطيط فرع CoW يتم تحديثه باستخدام xfs_find_trim_cow_extent، إلا أن تخطيط فرع البيانات لا يتم تحديثه قبل عملية الكتابة التالية . هذا الإهمال يعني أن عملية كتابة متزامنة يمكنها تجاوز آلية النسخ عند الكتابة بالكامل وتعديل كتل البيانات المشتركة التي لا يُفترض أن يتمكن المهاجم من الكتابة إليها مباشرة .

يمكن للمهاجم الذي يمتلك حسابًا محليًا غير مميز استغلال ذلك لكتابة أي ملف يمكنه قراءته، بما في ذلك ملفات النظام المحمية مثل /etc/passwd أو /etc/shadow أو ملف authorized_keys الخاص بـ SSH. يعمل الاستغلال حتى على الأنظمة التي تشغل SELinux في وضع الإنفاذ (Enforcing mode) . والأهم من ذلك، أن التعديل الذي يحدث على القرص يبقى حتى بعد إعادة تشغيل النظام .

الأنظمة المتأثرة والنطاق

تم إدخال الثغرة في نواة لينكس الإصدار 4.11 (فبراير 2017) من خلال التعديل 3c68d44a2b49، وهي موجودة في كل نواة رئيسية ومستقرة منذ ذلك الحين . يتطلب استغلالها أن يكون نظام ملفات XFS المستهدف قد فُعلت فيه ميزة reflink، والتي أصبحت الإعداد الافتراضي لأداة إنشاء نظام الملفات mkfs.xfs منذ عام 2019، مما يعني أن معظم أقراص XFS الحديثة معرضة للخطر .

التوزيعات المؤكد تأثرها

وفقًا لـ Qualys و CERT-EU، تم التحقق المباشر من تأثر التوزيعات التالية :

• أوبونتو 24.04 LTS - نواة 6.17.0-1007-aws
• أمازون لينكس 2023 - نواة 6.18.8-9.213.amzn2023
• RHEL 8, 9, 10
• أوراكل لينكس
• SUSE 16 - نواة 6.12.0-160000.9-default
• فيدورا

التوزيعات الأخرى التي تستخدم نواة ضمن النطاق المتأثر تعتبر معرضة ضمنيًا، بما في ذلك دبيان، آرتش لينكس، روكي لينكس، ألما لينكس، وإصدارات لينكس المضمنة .

المعالجة: التصحيح هو الحل الوحيد

التصحيح الفوري للنواة هو الحل الوحيد الموثوق. لا توجد إجراءات تحايلية (workarounds) ذات معنى — الثغرة لا تتطلب أي إعداد غير افتراضي، ولا يمكن إيقافها بواسطة SELinux، ولا تنتج أي مخرجات في سجل النواة أثناء الاستغلال . الإجراء التخفيفي الجزئي الوحيد هو تقييد وصول الكتابة المباشر (direct-I/O) إلى أنظمة ملفات XFS على الأنظمة المتأثرة حتى اكتمال التصحيح .

تم دمج التصحيح في النواة الرئيسية (upstream) في 16 يوليو 2026 (التعديل 2f4acd0: "xfs: resample the data fork mapping after cycling ILOCK") . يعمل التصحيح على إعادة أخذ عينة من تخطيط فرع البيانات عن طريق الاستعلام عنه عندما يتغير عداد التسلسل (sequence counter) عبر دورة ILOCK، مما يضمن عدم استخدام التخطيطات غير المحدثة لعملية الكتابة التالية .

تصحيحات البائعين

• ريد هات أصدرت نشرة أمان RHSA-2026:6153 و RHSA-2026:4759
• أوراكل لينكس صنفت الثغرة على أنها ذات تأثير "Important" ونشرت أنوية مصححة مقابلة
• CIQ (روكي لينكس) أصدرت أنوية مصححة للإصدارات 8 و 9 و 10

يجب على المؤسسات التي تستخدم أنظمة لينكس المتأثرة تطبيق تحديثات الأمان من البائعين فورًا وإعادة تشغيل النظام لضمان تفعيل النواة المصححة . نظرًا لأن الثغرة تؤثر على قاعدة كبيرة جدًا من الأنظمة ويمكن استغلالها بشكل موثوق دون صلاحيات خاصة، فإنها تمثل خطرًا بالغًا على أي بيئة لينكس متعددة المستخدمين أو مشتركة.