RefluXFS (CVE-2026-64600): लिनक्स कर्नेल में XFS फ़ाइल सिस्टम की खतरनाक खामी, 1.64 करोड़ सिस्टम पर खतरा

Linux की दुनिया में एक बड़ा सुरक्षा अलर्ट जारी हुआ है। क्वालिस थ्रेट रिसर्च यूनिट (Qualys TRU) ने 22 जुलाई 2026 को लिनक्स कर्नेल के XFS फ़ाइल सिस्टम में एक गंभीर खामी का खुलासा किया है, जिसे RefluXFS (CVE-2026-64600) नाम दिया गया है । यह एक स्थानीय विशेषाधिकार वृद्धि (Local Privilege Escalation) कमज़ोरी है, जो सिस्टम पर एक सामान्य, बिना किसी विशेष अधिकार वाले (unprivileged) उपयोगकर्ता को रूट एक्सेस प्राप्त करने की अनुमति देती है। शुरुआती अनुमानों के अनुसार, यह कमज़ोरी दुनिया भर में लगभग 1.64 करोड़ (16.4 मिलियन) सिस्टम को प्रभावित कर सकती है ।

RefluXFS कैसे काम करता है?

यह कमज़ोरी लिनक्स कर्नेल के XFS फ़ाइल सिस्टम में copy-on-write (CoW) प्रक्रिया से जुड़ी एक रेस कंडीशन (Race Condition) है । आसान भाषा में समझें तो:

• XFS फ़ाइल सिस्टम एक विशेषता प्रदान करता है जिसे reflink कहते हैं। इसकी मदद से डेटा की डुप्लीकेट कॉपी बनाए बिना ही फ़ाइलों का 'लिंक' बनाया जा सकता है, जिससे जगह बचती है।
• जब कोई प्रोग्राम reflink की गई फ़ाइल में बदलाव करता है, तो CoW प्रक्रिया यह सुनिश्चित करती है कि बदलाव केवल नई कॉपी में ही हों, मूल फ़ाइल सुरक्षित रहे।
• RefluXFS कमज़ोरी xfs_reflink_fill_cow_hole और xfs_reflink_fill_delalloc नामक दो कर्नेल हेल्पर फंक्शन में एक रेस कंडीशन का फायदा उठाती है । कोड के एक हिस्से में, ट्रांज़ैक्शन शुरू करने के लिए XFS inode लॉक (ILOCK) को साइकिल किया जाता है, जिसके कारण डेटा फोर्क और CoW फोर्क दोनों के लिए मैपिंग पुरानी (stale) हो सकती है । हालांकि, CoW फोर्क की मैपिंग को रिफ्रेश किया जाता है, लेकिन डेटा फोर्क की मैपिंग को रिफ्रेश नहीं किया जाता ।
• एक हमलावर इस कमज़ोरी का फायदा उठाकर लिखने (write) की प्रक्रिया को CoW प्रक्रिया को बायपास करने और सीधे उन शेयर्ड डेटा ब्लॉक्स में बदलाव करने के लिए मजबूर कर सकता है, जिन्हें वह सामान्यतः नहीं बदल सकता ।
• इस तरह, एक सामान्य उपयोगकर्ता /etc/passwd, /etc/shadow, या SSH authorized_keys जैसी सुरक्षित सिस्टम फ़ाइलों को भी ओवरराइट कर सकता है । हैरानी की बात यह है कि यह हमला SELinux को Enforcing मोड में चलने पर भी काम करता है और डिस्क पर किए गए बदलाव सिस्टम रीबूट होने के बाद भी बने रहते हैं ।

कौन से सिस्टम प्रभावित हैं?

यह कमज़ोरी लिनक्स कर्नेल 4.11 (फरवरी 2017) में शामिल हुई थी और तब से रिलीज़ सभी मेनलाइन और स्थिर कर्नेल में मौजूद है । इसका फायदा उठाने के लिए केवल इतना ज़रूरी है कि लक्षित XFS वॉल्यूम में reflink सुविधा सक्षम हो, जो कि 2019 से डिफ़ॉल्ट सेटिंग है ।

पुष्टि किए गए प्रभावित वितरण (डिस्ट्रीब्यूशन):

• Ubuntu 24.04 LTS - कर्नेल 6.17.0-1007-aws
• Amazon Linux 2023 - कर्नेल 6.18.8-9.213.amzn2023
• RHEL 8, 9, 10
• Oracle Linux
• SUSE 16 - कर्नेल 6.12.0-160000.9-default
• Fedora

इनके अलावा, Debian, Arch Linux, Rocky Linux, AlmaLinux जैसे अन्य सभी वितरण और एम्बेडेड Linux बिल्ड भी प्रभावित हो सकते हैं ।

बचाव: एकमात्र उपाय है पैच (Patch)

तुरंत कर्नेल पैच (Kernel Patch) लगाना ही इस कमज़ोरी से बचाव का एकमात्र प्रभावी उपाय है। इसके लिए कोई कारगर वर्कअराउंड (workaround) मौजूद नहीं है। SELinux इसे रोक नहीं सकता और हमले के दौरान कर्नेल लॉग में कोई सबूत नहीं बचता । एकमात्र अस्थायी उपाय यह है कि प्रभावित सिस्टम पर XFS फ़ाइल सिस्टम तक डायरेक्ट-I/O राइट एक्सेस को प्रतिबंधित कर दिया जाए ।

अपस्ट्रीम कर्नेल पैच 16 जुलाई 2026 को लिनक्स कर्नेल सोर्स ट्री में मर्ज कर दिया गया है (कमिट 2f4acd0: "xfs: resample the data fork mapping after cycling ILOCK") । यह पैच डेटा फोर्क मैपिंग को रिफ्रेश करने की समस्या को ठीक करता है ।

विक्रेता पैच (Vendor Patches)

• Red Hat ने RHSA-2026:6153 और RHSA-2026:4759 जैसे सुरक्षा परामर्श जारी किए हैं ।
• Oracle Linux ने इस CVE को "महत्वपूर्ण" घोषित किया है और फिक्स्ड कर्नेल जारी किया है ।
• CIQ (Rocky Linux) ने अपने सभी समर्थित वर्जनों के लिए पैच किए गए कर्नेल जारी किए हैं ।

यदि आप किसी प्रभावित Linux सिस्टम का उपयोग कर रहे हैं, तो तुरंत अपने वितरण के अनुसार सुरक्षा अपडेट इंस्टॉल करें और सिस्टम को रीबूट करें ताकि पैच किया गया कर्नेल एक्टिव हो जाए । यह कमज़ोरी इतनी बड़ी संख्या में सिस्टम को प्रभावित करती है और इसे बिना किसी विशेष अधिकार के आसानी से एक्सप्लॉइट किया जा सकता है, इसलिए यह किसी भी मल्टीटेनेंट या शेयर्ड-यूज़र Linux वातावरण के लिए एक गंभीर खतरा है।