จุดบกพร่องคือ race condition ในฟังก์ชันช่วยเหลือของเคอร์เนลสองฟังก์ชัน: xfs_reflink_fill_cow_hole และ xfs_reflink_fill_delalloc เมื่อฟังก์ชันเหล่านี้วนลูปการล็อก inode (ILOCK) ของ XFS เพื่อรับ transaction การแมปข้อมูลทั้งใน data fork และ CoW fork อาจกลายเป็นข้อมูลที่เก่า (stale) ได้ แม้ว่าการแมปของ CoW fork จะถูกรีเฟรชด้วย xfs_find_trim_cow_extent แต่การแมปของ data fork จะไม่ถูกรีเฟรช ก่อนการเขียนครั้งถัดไป ข้อบกพร่องนี้หมายความว่าการเขียนที่เกิดขึ้นพร้อมกัน (concurrent write) สามารถเลี่ยงกระบวนการ copy-on-write และแก้ไขบล็อกข้อมูลที่ใช้ร่วมกันโดยตรง ซึ่งผู้โจมตีไม่ควรมีสิทธิ์เขียนถึง
ผู้โจมตีที่มีบัญชีผู้ใช้ทั่วไปในเครื่องสามารถใช้ประโยชน์จากช่องโหว่นี้เพื่อ เขียนทับไฟล์ใดก็ได้ที่ตนสามารถอ่านได้ รวมถึงไฟล์ระบบที่ได้รับการป้องกัน เช่น /etc/passwd, /etc/shadow, หรือ authorized_keys ของ SSH การโจมตีนี้ใช้ได้แม้ในระบบที่เปิดใช้งาน SELinux ในโหมด Enforcing จุดสำคัญคือ การแก้ไขข้อมูลบนดิสก์ จะคงอยู่แม้หลังจากรีบูตระบบแล้ว
ช่องโหว่นี้ถูกนำเข้ามาใน Linux kernel เวอร์ชัน 4.11 (กุมภาพันธ์ 2017) โดย commit 3c68d44a2b49 และมีอยู่ในทุกเคอร์เนลหลักและเสถียรตั้งแต่นั้นมา เงื่อนไขคือ ระบบไฟล์ XFS เป้าหมายต้องเปิดใช้งานคุณสมบัติ reflink ซึ่งเป็นค่าเริ่มต้นสำหรับ mkfs.xfs ตั้งแต่ปี 2019 ดังนั้นวอลุ่ม XFS ที่ทันสมัยส่วนใหญ่จึงได้รับผลกระทบ
จากรายงานของ Qualys และ CERT-EU ดิสทริบิวชันต่อไปนี้ได้รับการยืนยันโดยตรงว่ามีช่องโหว่ :
ดิสทริบิวชันอื่น ๆ ที่ใช้เคอร์เนลในช่วงที่ได้รับผลกระทบก็มีความเสี่ยงโดยปริยาย เช่น Debian, Arch Linux, Rocky Linux, AlmaLinux และระบบ Linux แบบฝังตัว (embedded)
การแพตช์เคอร์เนลทันทีคือการแก้ไขที่เชื่อถือได้เพียงวิธีเดียว ไม่มีวิธีการแก้ไขปัญหาชั่วคราวที่มีประสิทธิภาพ เนื่องจากช่องโหว่ไม่จำเป็นต้องใช้การตั้งค่าที่ไม่ได้มาตรฐาน ไม่สามารถถูกบล็อกโดย SELinux และไม่สร้างผลลัพธ์ใด ๆ ใน log ของเคอร์เนลระหว่างการโจมตี มาตรการบรรเทาผลกระทบเพียงบางส่วนคือการจำกัดการเข้าถึงการเขียน direct-I/O ไปยังระบบไฟล์ XFS บนระบบที่ได้รับผลกระทบจนกว่าจะทำการแพตช์เสร็จสมบูรณ์
แพตช์เคอร์เนลต้นน้ำถูกรวมเข้าเมื่อวันที่ 16 กรกฎาคม 2026 (commit 2f4acd0: "xfs: resample the data fork mapping after cycling ILOCK") แพตช์นี้จะสุ่มตัวอย่างการแมป data fork ใหม่อีกครั้งโดยการสอบถามเมื่อ sequence counter เปลี่ยนแปลงระหว่างรอบ ILOCK เพื่อให้แน่ใจว่าจะไม่ใช้การแมปที่เก่าสำหรับการเขียนครั้งถัดไป
องค์กรที่ใช้ระบบ Linux ที่ได้รับผลกระทบควรอัปเดตความปลอดภัยจากผู้จำหน่ายทันทีและรีบูตเพื่อให้แน่ใจว่าเคอร์เนลที่แพตช์แล้วทำงานอยู่ เนื่องจากช่องโหว่นี้ส่งผลกระทบต่อฐานการติดตั้งขนาดใหญ่และสามารถโจมตีได้อย่างน่าเชื่อถือโดยไม่ต้องมีสิทธิพิเศษ จึงถือเป็นความเสี่ยงร้ายแรงต่อสภาพแวดล้อม Linux แบบหลายผู้ใช้หรือผู้ใช้ร่วม