RefluXFS (CVE-2026-64600)

Como o RefluXFS Funciona

A falha é uma condição de corrida em duas funções auxiliares do kernel: xfs_reflink_fill_cow_hole e xfs_reflink_fill_delalloc . Quando essas funções liberam o bloqueio do inode XFS (ILOCK) para adquirir uma transação, os mapeamentos tanto para o fork de dados quanto para o fork CoW podem se tornar obsoletos . Embora o mapeamento do fork CoW seja atualizado usando xfs_find_trim_cow_extent, o mapeamento do fork de dados não é atualizado antes da próxima operação de gravação . Essa supervisão significa que uma gravação concorrente pode contornar completamente o processo de copy-on-write e modificar diretamente os blocos de dados compartilhados que o atacante não deveria ser capaz de escrever .

Um atacante com uma conta local não privilegiada pode explorar isso para sobrescrever qualquer arquivo que possa ler, incluindo arquivos protegidos do sistema como /etc/passwd, /etc/shadow, ou authorized_keys do SSH. A exploração funciona mesmo em sistemas executando SELinux no modo Enforcing . Criticamente, a modificação no disco sobrevive a uma reinicialização do sistema .

Sistemas Afetados e Abrangência

A vulnerabilidade foi introduzida no kernel Linux versão 4.11 (fevereiro de 2017) pelo commit 3c68d44a2b49 e está presente em todas as versões mainline e estáveis desde então . Ela requer que o sistema de arquivos XFS de destino tenha o recurso reflink habilitado, que é o padrão do mkfs.xfs desde 2019, o que significa que a maioria dos volumes XFS modernos estão afetados .

Distribuições Confirmadamente Afetadas

De acordo com a Qualys e o CERT-EU, as seguintes distribuições foram diretamente verificadas como vulneráveis :

• Ubuntu 24.04 LTS - kernel 6.17.0-1007-aws
• Amazon Linux 2023 - kernel 6.18.8-9.213.amzn2023
• RHEL 8, 9, 10
• Oracle Linux
• SUSE 16 - kernel 6.12.0-160000.9-default
• Fedora

Outras distribuições que utilizam kernels na faixa afetada são implicitamente vulneráveis, incluindo Debian, Arch Linux, Rocky Linux, AlmaLinux e sistemas Linux embarcados .

Remediação: Aplicar o Patch é a Única Solução

A aplicação imediata do patch no kernel é a única remediação confiável. Não existem soluções alternativas significativas — a vulnerabilidade não requer nenhuma configuração não padrão, não pode ser bloqueada pelo SELinux e não produz nenhum registro no kernel durante a exploração . A única mitigação parcial é restringir o acesso de gravação de I/O direto (direct-I/O) aos sistemas de arquivos XFS em sistemas afetados até que a correção seja concluída .

O patch do kernel upstream foi mesclado em 16 de julho de 2026 (commit 2f4acd0: "xfs: resample the data fork mapping after cycling ILOCK") . A correção reamostra o mapeamento do fork de dados consultando-o quando o contador de sequência muda durante o ciclo ILOCK, garantindo que mapeamentos obsoletos não sejam usados para a próxima gravação .

Patches dos Fornecedores

• Red Hat emitiu os avisos RHSA-2026:6153 e RHSA-2026:4759
• Oracle Linux classificou o CVE como de impacto "Importante" e publicou kernels corrigidos correspondentes
• CIQ (Rocky Linux) lançou kernels corrigidos para as versões 8, 9 e 10

Organizações que usam sistemas Linux afetados devem aplicar as atualizações de segurança do fornecedor imediatamente e reinicializar para garantir que o kernel corrigido esteja ativo . Como a vulnerabilidade afeta uma base tão grande de sistemas instalados e é confiavelmente explorável sem privilégios especiais, ela representa um risco crítico para qualquer ambiente Linux multi-inquilino ou de usuário compartilhado.