「RefluXFS（CVE-2026-64600）」とは？LinuxカーネルのXFS脆弱性、その仕組みと対策を徹底解説

• この欠陥は、xfs_reflink_fill_cow_hole および xfs_reflink_fill_delalloc というカーネルヘルパー関数における 競合状態（レースコンディション） です。これらの関数は、トランザクションを取得するためにXFSのinodeロック（ILOCK）を循環させるため、データフォークとCoWフォークの両方のマッピングが古くなります。
• CoWフォークのマッピングは xfs_find_trim_cow_extent を介して更新されますが、次の書き込みの前に データフォークのマッピングは更新されません。これにより、同時に発生した書き込みがコピー・オン・ライト処理をバイパスし、攻撃者が本来書き込むべきでない共有データブロックを直接変更できるようになります。
• 攻撃者は、ローカルの特権のないアカウントを使って、読み取り可能な任意のファイル（/etc/passwd、/etc/shadow、SSHのauthorized_keysなどの保護されたシステムファイルを含む）を上書きできます。これはSELinuxがEnforcingモードで動作しているシステムでも可能です。
• このディスク上の変更は、システムを再起動しても持続します。

影響を受けるシステム

• カーネルバージョン: Linuxカーネル4.11（2017年2月）で、コミット 3c68d44a2b49 によって導入され、それ以降のすべてのメインラインおよび安定版カーネルに存在します。
• ファイルシステムの要件: 対象のXFSファイルシステムは、reflink 機能が有効になっている必要があります。reflinkは2019年以降の mkfs.xfs でデフォルトとなっているため、最新のXFSボリュームのほとんどが影響を受けます。
• 特別な条件は不要: 非デフォルトのカーネルモジュール、sysctl、ケーパビリティ、設定は必要ありません。
• 影響が確認されているディストリビューション（QualysおよびCERT-EUによる）:
  • Ubuntu 24.04 LTS
  • Amazon Linux 2023
  • RHEL 8, 9, 10
• 推定影響範囲: 全世界で 1640万システム以上 が影響を受ける可能性があります。

修正・対策

• 根本的な修正は、カーネルの早急なアップデートです。 各ベンダーから修正済みカーネルがリリースされているか、バックポートが進められています。
  • Red Hat は勧告（RHSA-2026:6153、RHSA-2026:4759）を発行しています。
  • Oracle Linux は本CVEを「重要（Important）」な影響として公開しています。
  • 上流のカーネルパッチは 2026年7月16日 にマージされました。
• パッチの内容: ILOCKのサイクルをまたいでシーケンスカウンタが変更された場合に、データフォークのマッピングを再サンプリング（問い合わせ直す）するように修正されています。
• 有効な回避策はありません。 カーネルのアップグレード以外に実質的な軽減策はありません。この脆弱性は非デフォルトの設定を必要とせず、SELinuxもバイパスするためです。唯一部分的な代替策として、パッチ適用が完了するまで、影響を受けるシステム上のXFSファイルシステムへのダイレクトI/O書き込みアクセスを制限することが挙げられます。