RefluXFS (CVE-2026-64600): Kritische Linux-Kernel-Lücke im XFS-Dateisystem betrifft 16,4 Millionen Systeme

RefluXFS (CVE-2026-64600) ist eine hochkritische Sicherheitslücke im Linux-Kernel, die eine lokale Rechteausweitung auf Root-Rechte ermöglicht. Entdeckt und veröffentlicht wurde sie vom Qualys Threat Research Unit am 22. Juli 2026. Die Schwachstelle nutzt einen Race Condition im Copy-on-Write-Mechanismus (CoW) des XFS-Dateisystems aus. Dadurch kann ein nicht-privilegierter lokaler Benutzer Root-Zugriff erlangen, ohne dass spezielle Fähigkeiten oder nicht-standardmäßige Konfigurationen erforderlich sind . Weltweit sind schätzungsweise 16,4 Millionen Systeme betroffen .

Wie RefluXFS funktioniert

Der Fehler ist ein Race Condition in den beiden Kernel-Hilfsfunktionen xfs_reflink_fill_cow_hole und xfs_reflink_fill_delalloc . Wenn diese Funktionen den XFS-Inode-Lock (ILOCK) durchlaufen, um eine Transaktion zu erwerben, können die Zuordnungen (Mappings) sowohl für den Daten-Fork als auch für den CoW-Fork veralten . Obwohl das CoW-Fork-Mapping mit xfs_find_trim_cow_extent aktualisiert wird, wird das Daten-Fork-Mapping vor dem nächsten Schreibzugriff nicht aktualisiert . Diese Lücke ermöglicht es einem gleichzeitigen Schreibzugriff, den Copy-on-Write-Prozess zu umgehen und direkt geteilte Datenblöcke zu überschreiben, auf die der Angreifer eigentlich keinen Schreibzugriff haben sollte .

Ein Angreifer mit einem lokalen, nicht-privilegierten Benutzerkonto kann dies ausnutzen, um jede Datei zu überschreiben, die er lesen kann – einschließlich geschützter Systemdateien wie /etc/passwd, /etc/shadow oder SSH authorized_keys. Der Exploit funktioniert sogar auf Systemen, die SELinux im Enforcing-Modus ausführen . Entscheidend ist, dass die Änderung auf der Festplatte einen Neustart des Systems überlebt .

Betroffene Systeme und Umfang

Die Schwachstelle wurde mit Linux-Kernel Version 4.11 (Februar 2017) durch den Commit 3c68d44a2b49 eingeführt und ist in allen seitherigen Haupt- und Stable-Kerneln vorhanden . Voraussetzung ist, dass das betroffene XFS-Dateisystem die Reflink-Funktion aktiviert hat, was seit 2019 die Standardeinstellung von mkfs.xfs ist. Somit sind die meisten modernen XFS-Volumes betroffen .

Bestätigt betroffene Distributionen

Laut Qualys und CERT-EU wurden die folgenden Distributionen direkt als verwundbar bestätigt :

• Ubuntu 24.04 LTS – Kernel 6.17.0-1007-aws
• Amazon Linux 2023 – Kernel 6.18.8-9.213.amzn2023
• RHEL 8, 9, 10
• Oracle Linux
• SUSE 16 – Kernel 6.12.0-160000.9-default
• Fedora

Andere Distributionen, die Kernel im betroffenen Bereich ausliefern, sind implizit verwundbar, darunter Debian, Arch Linux, Rocky Linux, AlmaLinux und eingebettete Linux-Builds .

Abhilfe: Patchen ist die einzige Lösung

Ein sofortiger Kernel-Patch ist die einzig zuverlässige Abhilfe. Es gibt keine sinnvollen Workarounds – die Schwachstelle erfordert keine nicht-standardmäßige Konfiguration, kann nicht durch SELinux blockiert werden und hinterlässt bei der Ausnutzung keine Kernel-Log-Einträge . Die einzige teilweise Gegenmaßnahme ist die Einschränkung des Direct-I/O-Schreibzugriffs auf XFS-Dateisysteme auf betroffenen Systemen, bis der Patch eingespielt ist .

Der upstream Kernel-Patch wurde am 16. Juli 2026 integriert (Commit 2f4acd0: "xfs: resample the data fork mapping after cycling ILOCK") . Der Patch aktualisiert das Daten-Fork-Mapping, indem es bei Änderungen des Sequenzzählers während des ILOCK-Durchlaufs erneut abgefragt wird. So wird sichergestellt, dass keine veralteten Mappings für den nächsten Schreibvorgang verwendet werden .

Hersteller-Patches

• Red Hat hat die Sicherheitsadvisories RHSA-2026:6153 und RHSA-2026:4759 herausgegeben
• Oracle Linux hat den CVE mit dem Impact "Important" bewertet und entsprechende korrigierte Kernel veröffentlicht
• CIQ (Rocky Linux) hat gepatchte Kernel für die Versionen 8, 9 und 10 bereitgestellt

Organisationen, die betroffene Linux-Systeme einsetzen, sollten die Sicherheitsupdates der Hersteller sofort einspielen und einen Neustart durchführen, um sicherzustellen, dass der gepatchte Kernel aktiv ist . Da die Schwachstelle eine so große installierte Basis betrifft und zuverlässig ohne besondere Rechte ausgenutzt werden kann, stellt sie ein kritisches Risiko für jede Multi-Tenant- oder Multi-User-Linux-Umgebung dar.