RefluXFS (CVE-2026-64600): La vulnerabilidad crítica en el sistema de archivos XFS del kernel de Linux

Cómo funciona RefluXFS

El fallo es una condición de carrera en dos funciones auxiliares del kernel: xfs_reflink_fill_cow_hole y xfs_reflink_fill_delalloc . Cuando estas funciones ciclan el bloqueo de inodo de XFS (ILOCK) para adquirir una transacción, los mapeos tanto de la bifurcación de datos como de la bifurcación CoW pueden volverse obsoletos . Aunque el mapeo de la bifurcación CoW se actualiza usando xfs_find_trim_cow_extent, el mapeo de la bifurcación de datos no se actualiza antes de la siguiente operación de escritura . Este descuido significa que una escritura concurrente puede eludir el proceso de copia en escritura por completo y modificar directamente los bloques de datos compartidos que el atacante no debería poder escribir .

Un atacante con una cuenta local sin privilegios puede explotar esto para sobrescribir cualquier archivo que pueda leer, incluidos archivos protegidos del sistema como /etc/passwd, /etc/shadow o las claves SSH authorized_keys. El exploit funciona incluso en sistemas que ejecutan SELinux en modo Enforcing . Es importante destacar que la modificación en el disco sobrevive a un reinicio del sistema .

Sistemas afectados y alcance

La vulnerabilidad se introdujo en la versión 4.11 del kernel de Linux (febrero de 2017) mediante el commit 3c68d44a2b49 y está presente en todos los kernels principales y estables desde entonces . Requiere que el sistema de archivos XFS afectado tenga la función reflink habilitada, que ha sido la opción predeterminada de mkfs.xfs desde 2019, lo que significa que la mayoría de los volúmenes XFS modernos están afectados .

Distribuciones afectadas confirmadas

Según Qualys y CERT-EU, las siguientes distribuciones han sido verificadas directamente como vulnerables :

• Ubuntu 24.04 LTS - kernel 6.17.0-1007-aws
• Amazon Linux 2023 - kernel 6.18.8-9.213.amzn2023
• RHEL 8, 9, 10
• Oracle Linux
• SUSE 16 - kernel 6.12.0-160000.9-default
• Fedora

Otras distribuciones que incluyen kernels en el rango afectado son implícitamente vulnerables, incluyendo Debian, Arch Linux, Rocky Linux, AlmaLinux y sistemas Linux embebidos .

Remedio: El parcheo es la única solución

El parcheo inmediato del kernel es el único remedio fiable. No existen soluciones alternativas significativas: la vulnerabilidad no requiere una configuración no predeterminada, no puede ser bloqueada por SELinux y no produce salida en los registros del kernel durante la explotación . La única mitigación parcial es restringir el acceso de escritura directa a E/S (direct-I/O) en los sistemas de archivos XFS de los sistemas afectados hasta que se complete el parcheo .

El parche del kernel ascendente (upstream) se fusionó el 16 de julio de 2026 (commit 2f4acd0: "xfs: resample the data fork mapping after cycling ILOCK") . La corrección vuelve a muestrear el mapeo de la bifurcación de datos consultándolo cuando el contador de secuencia cambia durante el ciclo de ILOCK, asegurando que no se utilicen mapeos obsoletos para la siguiente escritura .

Parches de los proveedores

• Red Hat emitió los avisos RHSA-2026:6153 y RHSA-2026:4759
• Oracle Linux calificó el CVE como de impacto "Importante" y publicó los kernels corregidos correspondientes
• CIQ (Rocky Linux) lanzó kernels parcheados para las versiones 8, 9 y 10

Las organizaciones que utilizan sistemas Linux afectados deben aplicar las actualizaciones de seguridad de sus proveedores de inmediato y reiniciar para asegurarse de que el kernel parcheado esté activo . Debido a que la vulnerabilidad afecta a una base instalada tan grande y es explotable de manera fiable sin privilegios especiales, representa un riesgo crítico para cualquier entorno Linux multiusuario o con usuarios compartidos.