Linux内核高危漏洞“RefluXFS”（CVE-2026-64600）深度解析：影响千万级系统，无权限用户可获root权限

漏洞原理

• 该漏洞是一个存在于 xfs_reflink_fill_cow_hole 和 xfs_reflink_fill_delalloc 内核辅助函数中的 竞态条件 。
• 这些函数在执行时会循环获取XFS inode锁（ILOCK）以获取事务，这会导致数据分支（data fork）和CoW分支（CoW fork）的映射关系变得陈旧 。
• 当CoW分支映射通过 xfs_find_trim_cow_extent 刷新时，数据分支映射在下一次写入前并未刷新 。
• 这使得并发写入可以绕过写时复制过程，直接修改本不应有写入权限的共享数据块 。
• 拥有本地普通账户的攻击者可利用此漏洞 覆写任何他们有读取权限的文件——包括受保护的系统文件如 /etc/passwd、/etc/shadow 或SSH authorized_keys——即使系统运行在SELinux强制模式下 。
• 对磁盘的修改 在系统重启后依然存在 。

受影响系统范围

• 内核版本： 漏洞从 Linux内核4.11（2017年2月）开始引入，由commit 3c68d44a2b49 引入，此后所有主线及稳定内核版本均存在此漏洞 。
• 文件系统要求： 目标XFS文件系统必须启用了 reflink 特性。自2019年起，mkfs.xfs 默认启用reflink，这意味着大多数现代XFS卷都受影响 。
• 无需特殊配置： 无需非默认内核模块、sysctl参数、能力（capability）或任何特殊配置即可利用 。
• 已确认受影响的发行版：
  • Ubuntu 24.04 LTS
  • Amazon Linux 2023
  • RHEL 8, 9, 10
• 影响规模预估： 全球超过 1640万系统 暴露于该漏洞之下 。

修复与缓解

• 立即更新内核是首要修复方案。 各厂商已发布或正在向后移植修复后的内核版本：
  • 红帽发布安全公告（RHSA-2026:6153, RHSA-2026:4759）
  • Oracle Linux将该CVE标记为"重要"（Important）
  • 上游内核补丁已于 2026年7月16日 合并
• 补丁内容： 通过在ILOCK循环周期中检测序列计数器变化时重新查询数据分支映射，确保映射关系的一致性 。
• 无有效缓解措施。 除了升级内核，没有有意义的缓解方案——该漏洞无需任何非默认配置，且能绕过SELinux 。唯一的部分缓解方案是在完成修补前，限制受影响系统上对XFS文件系统的直接I/O写入权限 。