RefluXFS (CVE-2026-64600): Allvarlig Linux-sårbarhet i XFS-filsystemet – påverkar över 16 miljoner system

RefluXFS (CVE-2026-64600) är en allvarlig sårbarhet i Linux-kärnans XFS-filsystem, som upptäcktes och offentliggjordes av Qualys Threat Research Unit den 22 juli 2026 . Sårbarheten är en lokal privilegieeskalering som gör att en oprivilegierad användare kan få root-behörighet genom att utnyttja en race condition i XFS copy-on-write-mekanismen (CoW) .

---

Hur fungerar det?

• Sårbarheten är en race condition i kernel-hjälpfunktionerna xfs_reflink_fill_cow_hole och xfs_reflink_fill_delalloc . Dessa funktioner cyklar XFS inode-låset (ILOCK) för att skaffa en transaktion, vilket gör att både dataforken och CoW-forkens mappningar blir inaktuella .
• Medan CoW-forkens mappning uppdateras via xfs_find_trim_cow_extent, uppdateras dataforkens mappning INTE före nästa skrivning . Detta gör att en samtidig skrivning kan kringgå copy-on-write-processen och direkt modifiera delade datablock som angriparen inte borde kunna skriva till .
• En angripare med ett lokalt oprivilegierat konto kan utnyttja detta för att skriva över vilken fil som helst som de kan läsa – inklusive skyddade systemfiler som /etc/passwd, /etc/shadow eller SSH authorized_keys – även på system som kör SELinux i Enforcing-läge .
• Ändringarna på disken överlever en omstart av systemet .

Vilka system är drabbade?

• Kärnversioner: Introducerad i Linux-kärnan 4.11 (februari 2017) genom commit 3c68d44a2b49 och finns i alla efterföljande mainstream- och stabila kärnor .
• Filsystemskrav: Det drabbade XFS-filsystemet måste ha reflink-funktionen aktiverad. Reflink är standard sedan mkfs.xfs 2019, vilket innebär att de flesta moderna XFS-volymer är sårbara .
• Inga speciella förutsättningar krävs: Ingen icke-standard kernelmodul, sysctl, capability eller konfiguration behövs .
• Bekräftade drabbade distributioner (enligt Qualys och CERT-EU):
  • Ubuntu 24.04 LTS
  • Amazon Linux 2023
  • RHEL 8, 9, 10
  • Oracle Linux
  • SUSE 16
  • Fedora
• Uppskattad påverkan: Över 16,4 miljoner system exponerade .

Åtgärd

• Omedelbar uppdatering av kärnan är den primära lösningen. Patcherade kärnor från leverantörer finns nu tillgängliga eller håller på att bakåtporteras:
  • Red Hat har utfärdat säkerhetsbulletiner (RHSA-2026:6153, RHSA-2026:4759)
  • Oracle Linux har publicerat CVE:n med status "Important"
  • Uppströmskärnans patch slogs samman den 16 juli 2026
• Patchen samplar om dataforkens mappning genom att fråga efter den när sekvensräknaren ändras över ILOCK-cykeln .
• Ingen effektiv kringgående lösning. Det finns inga meningsfulla mitigeringar förutom att uppgradera kärnan – sårbarheten kräver ingen icke-standardkonfiguration och kringgår SELinux . Det enda partiella alternativet är att begränsa direkt-I/O-skrivåtkomst till XFS-filsystem på drabbade system tills patchning är klar .