RefluXFS (CVE-2026-64600): ภัยคุกคามระดับรากฐานใน Linux Kernel ที่คุณต้องรู้

RefluXFS (CVE-2026-64600) คืออะไร?

RefluXFS (CVE-2026-64600) เป็นช่องโหว่ยกระดับสิทธิ์ (Local Privilege Escalation) ความรุนแรงสูงในระบบไฟล์ XFS ของ Linux kernel ซึ่งถูกค้นพบและเปิดเผยโดย Qualys Threat Research Unit เมื่อวันที่ 22 กรกฎาคม 2026 ช่องโหว่นี้ทำให้ผู้ใช้ทั่วไปที่ไม่มีสิทธิพิเศษสามารถยกระดับตัวเองเป็น root ได้ โดยการโจมตีใช้ประโยชน์จาก race condition ในกลไก copy-on-write (CoW) ของ XFS คาดว่าช่องโหว่นี้ส่งผลกระทบต่อระบบประมาณ 16.4 ล้านเครื่อง ทั่วโลก และไม่จำเป็นต้องมีความสามารถพิเศษหรือการตั้งค่าที่ไม่ได้มาตรฐานใด ๆ เพื่อใช้โจมตี

RefluXFS ทำงานอย่างไร?

จุดบกพร่องคือ race condition ในฟังก์ชันช่วยเหลือของเคอร์เนลสองฟังก์ชัน: xfs_reflink_fill_cow_hole และ xfs_reflink_fill_delalloc เมื่อฟังก์ชันเหล่านี้วนลูปการล็อก inode (ILOCK) ของ XFS เพื่อรับ transaction การแมปข้อมูลทั้งใน data fork และ CoW fork อาจกลายเป็นข้อมูลที่เก่า (stale) ได้ แม้ว่าการแมปของ CoW fork จะถูกรีเฟรชด้วย xfs_find_trim_cow_extent แต่การแมปของ data fork จะไม่ถูกรีเฟรช ก่อนการเขียนครั้งถัดไป ข้อบกพร่องนี้หมายความว่าการเขียนที่เกิดขึ้นพร้อมกัน (concurrent write) สามารถเลี่ยงกระบวนการ copy-on-write และแก้ไขบล็อกข้อมูลที่ใช้ร่วมกันโดยตรง ซึ่งผู้โจมตีไม่ควรมีสิทธิ์เขียนถึง

ผู้โจมตีที่มีบัญชีผู้ใช้ทั่วไปในเครื่องสามารถใช้ประโยชน์จากช่องโหว่นี้เพื่อ เขียนทับไฟล์ใดก็ได้ที่ตนสามารถอ่านได้ รวมถึงไฟล์ระบบที่ได้รับการป้องกัน เช่น /etc/passwd, /etc/shadow, หรือ authorized_keys ของ SSH การโจมตีนี้ใช้ได้แม้ในระบบที่เปิดใช้งาน SELinux ในโหมด Enforcing จุดสำคัญคือ การแก้ไขข้อมูลบนดิสก์ จะคงอยู่แม้หลังจากรีบูตระบบแล้ว

ระบบใดบ้างที่ได้รับผลกระทบ?

ช่องโหว่นี้ถูกนำเข้ามาใน Linux kernel เวอร์ชัน 4.11 (กุมภาพันธ์ 2017) โดย commit 3c68d44a2b49 และมีอยู่ในทุกเคอร์เนลหลักและเสถียรตั้งแต่นั้นมา เงื่อนไขคือ ระบบไฟล์ XFS เป้าหมายต้องเปิดใช้งานคุณสมบัติ reflink ซึ่งเป็นค่าเริ่มต้นสำหรับ mkfs.xfs ตั้งแต่ปี 2019 ดังนั้นวอลุ่ม XFS ที่ทันสมัยส่วนใหญ่จึงได้รับผลกระทบ

ดิสทริบิวชันที่ได้รับการยืนยันว่าได้รับผลกระทบ

จากรายงานของ Qualys และ CERT-EU ดิสทริบิวชันต่อไปนี้ได้รับการยืนยันโดยตรงว่ามีช่องโหว่ :

• Ubuntu 24.04 LTS - เคอร์เนล 6.17.0-1007-aws
• Amazon Linux 2023 - เคอร์เนล 6.18.8-9.213.amzn2023
• RHEL 8, 9, 10
• Oracle Linux
• SUSE 16 - เคอร์เนล 6.12.0-160000.9-default
• Fedora

ดิสทริบิวชันอื่น ๆ ที่ใช้เคอร์เนลในช่วงที่ได้รับผลกระทบก็มีความเสี่ยงโดยปริยาย เช่น Debian, Arch Linux, Rocky Linux, AlmaLinux และระบบ Linux แบบฝังตัว (embedded)

การแก้ไข: การแพตช์เคอร์เนลเท่านั้นที่ได้ผล

การแพตช์เคอร์เนลทันทีคือการแก้ไขที่เชื่อถือได้เพียงวิธีเดียว ไม่มีวิธีการแก้ไขปัญหาชั่วคราวที่มีประสิทธิภาพ เนื่องจากช่องโหว่ไม่จำเป็นต้องใช้การตั้งค่าที่ไม่ได้มาตรฐาน ไม่สามารถถูกบล็อกโดย SELinux และไม่สร้างผลลัพธ์ใด ๆ ใน log ของเคอร์เนลระหว่างการโจมตี มาตรการบรรเทาผลกระทบเพียงบางส่วนคือการจำกัดการเข้าถึงการเขียน direct-I/O ไปยังระบบไฟล์ XFS บนระบบที่ได้รับผลกระทบจนกว่าจะทำการแพตช์เสร็จสมบูรณ์

แพตช์เคอร์เนลต้นน้ำถูกรวมเข้าเมื่อวันที่ 16 กรกฎาคม 2026 (commit 2f4acd0: "xfs: resample the data fork mapping after cycling ILOCK") แพตช์นี้จะสุ่มตัวอย่างการแมป data fork ใหม่อีกครั้งโดยการสอบถามเมื่อ sequence counter เปลี่ยนแปลงระหว่างรอบ ILOCK เพื่อให้แน่ใจว่าจะไม่ใช้การแมปที่เก่าสำหรับการเขียนครั้งถัดไป

แพตช์จากผู้จำหน่าย

• Red Hat ออก advisory RHSA-2026:6153 และ RHSA-2026:4759
• Oracle Linux ให้คะแนน CVE นี้ว่ามีผลกระทบระดับ "สำคัญ" (Important) และเผยแพร่เคอร์เนลที่แก้ไขแล้ว
• CIQ (Rocky Linux) เผยแพร่เคอร์เนลที่แพตช์แล้วสำหรับเวอร์ชัน 8, 9 และ 10

องค์กรที่ใช้ระบบ Linux ที่ได้รับผลกระทบควรอัปเดตความปลอดภัยจากผู้จำหน่ายทันทีและรีบูตเพื่อให้แน่ใจว่าเคอร์เนลที่แพตช์แล้วทำงานอยู่ เนื่องจากช่องโหว่นี้ส่งผลกระทบต่อฐานการติดตั้งขนาดใหญ่และสามารถโจมตีได้อย่างน่าเชื่อถือโดยไม่ต้องมีสิทธิพิเศษ จึงถือเป็นความเสี่ยงร้ายแรงต่อสภาพแวดล้อม Linux แบบหลายผู้ใช้หรือผู้ใช้ร่วม