RefluXFS (CVE-2026-64600): la falla nel kernel Linux che regala i permessi di root a qualunque utente locale

RefluXFS (CVE-2026-64600) è una vulnerabilità critica di escalation dei privilegi locale nel kernel Linux, scoperta e resa pubblica dal Qualys Threat Research Unit il 22 luglio 2026. Sfruttando una race condition nel percorso di copy-on-write (CoW) del filesystem XFS, un utente locale senza privilegi può ottenere l'accesso root . Il problema riguarda circa 16,4 milioni di sistemi a livello globale e non richiede capacità particolari né configurazioni anomale per essere sfruttato .

Come funziona RefluXFS

La falla è una race condition in due funzioni di supporto del kernel: xfs_reflink_fill_cow_hole e xfs_reflink_fill_delalloc . Quando queste funzioni rilasciano e riacquisiscono il lock sull'inode XFS (ILOCK) per ottenere una transazione, le mappature sia del data fork che del CoW fork possono diventare obsolete . Sebbene la mappatura del CoW fork venga aggiornata tramite xfs_find_trim_cow_extent, la mappatura del data fork non viene aggiornata prima della successiva operazione di scrittura . Questa dimenticanza permette a una scrittura concorrente di bypassare il processo di copy-on-write e modificare direttamente blocchi di dati condivisi su cui l'attaccante non dovrebbe avere diritti di scrittura .

Un utente malintenzionato con un account locale non privilegiato può sfruttare questa vulnerabilità per sovrascrivere qualsiasi file leggibile, inclusi file di sistema protetti come /etc/passwd, /etc/shadow o le chiavi SSH authorized_keys. L'attacco funziona anche su sistemi con SELinux in modalità Enforcing . Inoltre, la modifica su disco sopravvive a un riavvio del sistema .

Sistemi colpiti e portata

La vulnerabilità è stata introdotta nel kernel Linux versione 4.11 (febbraio 2017) con il commit 3c68d44a2b49 ed è presente in tutti i kernel principali e stabili successivi . Richiede che il filesystem XFS di destinazione abbia la funzionalità reflink abilitata, che è diventata l'impostazione predefinita per mkfs.xfs dal 2019: ciò significa che la maggior parte dei volumi XFS moderni è vulnerabile .

Distribuzioni confermate come vulnerabili

Secondo Qualys e CERT-EU, le seguenti distribuzioni sono state direttamente verificate come vulnerabili :

• Ubuntu 24.04 LTS – kernel 6.17.0-1007-aws
• Amazon Linux 2023 – kernel 6.18.8-9.213.amzn2023
• RHEL 8, 9, 10
• Oracle Linux
• SUSE 16 – kernel 6.12.0-160000.9-default
• Fedora

Altre distribuzioni che utilizzano kernel nell'intervallo interessato sono implicitamente vulnerabili, tra cui Debian, Arch Linux, Rocky Linux, AlmaLinux e build Linux embedded .

Rimedio: la patch è l'unica soluzione

L'aggiornamento immediato del kernel è l'unico rimedio affidabile. Non esistono workaround significativi: la vulnerabilità non richiede configurazioni non predefinite, non può essere bloccata da SELinux e durante lo sfruttamento non produce alcun output nei log del kernel . L'unica mitigazione parziale è limitare l'accesso in scrittura diretta I/O ai filesystem XFS sui sistemi colpiti fino al completamento della patch .

La patch per il kernel upstream è stata integrata il 16 luglio 2026 (commit 2f4acd0: "xfs: resample the data fork mapping after cycling ILOCK") . La correzione riesamina la mappatura del data fork interrogandola quando il contatore di sequenza cambia durante il ciclo ILOCK, assicurando che le mappature obsolete non vengano utilizzate per la scrittura successiva .

Patch dei fornitori

• Red Hat ha pubblicato gli advisory RHSA-2026:6153 e RHSA-2026:4759
• Oracle Linux ha classificato la CVE come di impatto "Importante" e ha pubblicato i kernel corretti corrispondenti
• CIQ (Rocky Linux) ha rilasciato kernel patchati per le versioni 8, 9 e 10

Le organizzazioni che utilizzano sistemi Linux colpiti dovrebbero applicare immediatamente gli aggiornamenti di sicurezza dei fornitori e riavviare per assicurarsi che il kernel patchato sia attivo . Poiché la vulnerabilità colpisce una base installata così ampia ed è sfruttabile in modo affidabile senza privilegi speciali, rappresenta un rischio critico per qualsiasi ambiente Linux multiutente o condiviso.