RefluXFS (CVE-2026-64600): una vulnerabilità critica di escalation dei privilegi nel filesystem XFS del kernel Linux

RefluXFS (CVE-2026-64600) è una vulnerabilità ad alta gravità di escalation locale dei privilegi nel filesystem XFS del kernel Linux, divulgata da Qualys Threat Research Unit il 22 luglio 2026 . Consente a un utente locale senza privilegi di ottenere l'accesso root sfruttando una race condition nel percorso copy-on-write (CoW) di XFS .

---

Come funziona

• Il difetto è una race condition nelle funzioni helper del kernel xfs_reflink_fill_cow_hole e xfs_reflink_fill_delalloc . Queste funzioni ciclano il lock dell'inode XFS (ILOCK) per acquisire una transazione, il che causa l'obsolescenza dei mapping sia del data fork che del CoW fork .
• Mentre il mapping del CoW fork viene aggiornato tramite xfs_find_trim_cow_extent, il mapping del data fork NON viene aggiornato prima della scrittura successiva . Ciò consente a una scrittura concorrente di bypassare il processo copy-on-write e modificare direttamente i blocchi di dati condivisi a cui l'attaccante non dovrebbe poter scrivere .
• Un attaccante con un account locale non privilegiato può sfruttare questo per sovrascrivere qualsiasi file che può leggere — inclusi file di sistema protetti come /etc/passwd, /etc/shadow o le chiavi SSH autorizzate — anche su sistemi con SELinux in modalità Enforcing .
• La modifica su disco sopravvive al riavvio del sistema .

Quali sistemi sono interessati

• Versioni del kernel: Introdotta nel kernel Linux 4.11 (febbraio 2017) dal commit 3c68d44a2b49 e presente in tutti i kernel mainline e stable successivi .
• Requisito del filesystem: Il filesystem XFS di destinazione deve avere la funzionalità reflink abilitata. Reflink è l'impostazione predefinita sin da mkfs.xfs nel 2019, il che significa che la maggior parte dei volumi XFS moderni sono interessati .
• Nessuna condizione speciale richiesta: Non è necessario alcun modulo del kernel, sysctl, capacità o configurazione non predefinita .
• Distribuzioni interessate confermate (secondo Qualys e CERT-EU):
  • Ubuntu 24.04 LTS
  • Amazon Linux 2023
  • RHEL 8, 9, 10
  • Oracle Linux
  • SUSE 16
  • Fedora
• Impatto stimato: Oltre 16,4 milioni di sistemi esposti .

Rimedio

• L'applicazione immediata della patch al kernel è la soluzione principale. I kernel patchati dai fornitori sono ora disponibili o in fase di backport:
  • Red Hat ha pubblicato avvisi (RHSA-2026:6153, RHSA-2026:4759)
  • Oracle Linux ha pubblicato il CVE come "Importante"
  • La patch upstream è stata integrata il 16 luglio 2026
• La patch ricampiona il mapping del data fork interrogandolo quando il contatore di sequenza cambia durante il ciclo ILOCK .
• Nessuna soluzione alternativa efficace. Non esistono mitigazioni significative a parte l'aggiornamento del kernel — la vulnerabilità non richiede configurazioni non predefinite e bypassa SELinux . L'unica alternativa parziale è limitare l'accesso in scrittura diretta I/O ai filesystem XFS sui sistemi interessati fino al completamento della patch .