RefluXFS (CVE-2026-64600)

RefluXFS (CVE-2026-64600) é uma vulnerabilidade de alta gravidade de escalonamento local de privilégios no sistema de arquivos XFS do kernel Linux. Descoberta e divulgada pela Unidade de Pesquisa em Ameaças da Qualys em 22 de julho de 2026, ela permite que um usuário local não privilegiado obtenha acesso root explorando uma condição de corrida no caminho de copy-on-write (CoW) do XFS . A vulnerabilidade afeta aproximadamente 16,4 milhões de sistemas globalmente e não requer capacidades especiais ou configurações não padrão para ser explorada .

Como o RefluXFS Funciona

A falha é uma condição de corrida em duas funções auxiliares do kernel: xfs_reflink_fill_cow_hole e xfs_reflink_fill_delalloc . Quando essas funções liberam o bloqueio do inode XFS (ILOCK) para adquirir uma transação, os mapeamentos tanto para o fork de dados quanto para o fork CoW podem se tornar obsoletos . Embora o mapeamento do fork CoW seja atualizado usando xfs_find_trim_cow_extent, o mapeamento do fork de dados não é atualizado antes da próxima operação de gravação . Essa supervisão significa que uma gravação concorrente pode contornar completamente o processo de copy-on-write e modificar diretamente os blocos de dados compartilhados que o atacante não deveria ser capaz de escrever .

Um atacante com uma conta local não privilegiada pode explorar isso para sobrescrever qualquer arquivo que possa ler, incluindo arquivos protegidos do sistema como /etc/passwd, /etc/shadow, ou authorized_keys do SSH. A exploração funciona mesmo em sistemas executando SELinux no modo Enforcing . Criticamente, a modificação no disco sobrevive a uma reinicialização do sistema .

Sistemas Afetados e Abrangência

A vulnerabilidade foi introduzida no kernel Linux versão 4.11 (fevereiro de 2017) pelo commit 3c68d44a2b49 e está presente em todas as versões mainline e estáveis desde então . Ela requer que o sistema de arquivos XFS de destino tenha o recurso reflink habilitado, que é o padrão do mkfs.xfs desde 2019, o que significa que a maioria dos volumes XFS modernos estão afetados .

Distribuições Confirmadamente Afetadas

De acordo com a Qualys e o CERT-EU, as seguintes distribuições foram diretamente verificadas como vulneráveis :

• Ubuntu 24.04 LTS - kernel 6.17.0-1007-aws
• Amazon Linux 2023 - kernel 6.18.8-9.213.amzn2023
• RHEL 8, 9, 10
• Oracle Linux
• SUSE 16 - kernel 6.12.0-160000.9-default
• Fedora

Outras distribuições que utilizam kernels na faixa afetada são implicitamente vulneráveis, incluindo Debian, Arch Linux, Rocky Linux, AlmaLinux e sistemas Linux embarcados .

Remediação: Aplicar o Patch é a Única Solução

A aplicação imediata do patch no kernel é a única remediação confiável. Não existem soluções alternativas significativas — a vulnerabilidade não requer nenhuma configuração não padrão, não pode ser bloqueada pelo SELinux e não produz nenhum registro no kernel durante a exploração . A única mitigação parcial é restringir o acesso de gravação de I/O direto (direct-I/O) aos sistemas de arquivos XFS em sistemas afetados até que a correção seja concluída .

O patch do kernel upstream foi mesclado em 16 de julho de 2026 (commit 2f4acd0: "xfs: resample the data fork mapping after cycling ILOCK") . A correção reamostra o mapeamento do fork de dados consultando-o quando o contador de sequência muda durante o ciclo ILOCK, garantindo que mapeamentos obsoletos não sejam usados para a próxima gravação .

Patches dos Fornecedores

• Red Hat emitiu os avisos RHSA-2026:6153 e RHSA-2026:4759
• Oracle Linux classificou o CVE como de impacto "Importante" e publicou kernels corrigidos correspondentes
• CIQ (Rocky Linux) lançou kernels corrigidos para as versões 8, 9 e 10

Organizações que usam sistemas Linux afetados devem aplicar as atualizações de segurança do fornecedor imediatamente e reinicializar para garantir que o kernel corrigido esteja ativo . Como a vulnerabilidade afeta uma base tão grande de sistemas instalados e é confiavelmente explorável sem privilégios especiais, ela representa um risco crítico para qualquer ambiente Linux multi-inquilino ou de usuário compartilhado.