Pesquisadores da Qualys Threat Research Unit (TRU) identificaram uma vulnerabilidade de escalonamento local de privilégios no kernel Linux, rastreada como CVE-2026-64600 e apelidada de RefluXFS. A falha, presente desde a versão 4.11 do kernel (2017), afeta sistemas que utilizam o sistema de arquivos XFS com reflink ativado, impactando mais de 16,4 milhões de sistemas mundialmente, de acordo com análise da Qualys CyberSecurity Asset Management.
A vulnerabilidade é uma condição de corrida no caminho de copy-on-write (CoW) do XFS. Um invasor com uma conta local sem privilégios pode acionar a falha e obter a capacidade de sobrescrever qualquer arquivo legível em um volume XFS no nível do bloco, o que se converte diretamente em privilégios de root. A exploração é confiável, não gera registros no kernel e sobrevive a reinicializações do sistema, conforme detalhou a Qualys em comunicado publicado ontem.
Sistemas afetados e impacto
A vulnerabilidade afeta distribuições que utilizam XFS como sistema de arquivos raiz com reflink ativado, incluindo configurações padrão de RHEL 8, 9 e 10, CentOS Stream, Oracle Linux, Rocky Linux, AlmaLinux, CloudLinux, Amazon Linux 2023 e Fedora Server 31+. Debian, Ubuntu e SUSE tornam-se expostos se o administrador selecionar manualmente o XFS durante a instalação. A Qualys confirmou que a exploração funciona mesmo com SELinux em modo Enforcing, e que medidas como KASLR, SMEP, SMAP, lockdown do kernel e seccomp não impedem o ataque.
A prova de conceito demonstrada pela Qualys em uma instalação padrão do RHEL 10.2 mostra um usuário sem privilégios utilizando a falha para sobrescrever arquivos protegidos, obtendo acesso root sem senha em segundos. As alterações persistem após reinicialização e não deixam rastros nos logs do kernel.
Correção e recomendações
Kernels corrigidos pelo fornecedor já estão disponíveis e sendo integrados às distribuições empresariais. A Qualys classifica a correção como prioridade emergencial e recomenda aplicação imediata dos patches com reinicialização do sistema. Não há mitigações temporárias ou alterações de configuração confiáveis para a vulnerabilidade.
A descoberta resultou de uma colaboração entre a Qualys e a Anthropic, integrando o modelo Claude Mythos Preview ao fluxo de auditoria manual, com supervisão rigorosa de pesquisadores humanos. O modelo identificou a condição de corrida e gerou uma prova de conceito funcional, que foi validada pela equipe de segurança da Qualys antes da divulgação coordenada.
