Descoberta e escopo da vulnerabilidade
Uma nova vulnerabilidade no kernel Linux, apelidada de "RefluXFS", foi descoberta pela Qualys Threat Research Unit (TRU) em parceria com a Anthropic. Trata-se de uma condição de corrida na linha de caminho de cópia-on-write do sistema de arquivos XFS que permite que um usuário local comum sobrescreva silenciosamente arquivos de sistema protegidos e obtenha privilégios de root do host, mesmo em sistemas executando SELinux no modo Enforcing.
A vulnerabilidade, rastreada como CVE-2026-64600, explora uma falha de tempo desencadeada quando duas gravações O_DIRECT concorrentes visam o mesmo arquivo reflink em um volume XFS. O bug existe silenciosamente em todos os kernels Linux principais e estáveis desde a versão 4.11, lançada em 2017.
Mecanismo de exploração técnica
O RefluXFS opera na camada de alocação de sistema de arquivos, abaixo do alcance do endurecimento convencional do kernel. Mecanismos de proteção de memória como KASLR, SMEP e SMAP visam superfícies de ataque completamente diferentes, e o lockdown do kernel não impõe restrições às chamadas O_DIRECT ou FICLONE. O SELinux também não bloqueia o caminho de código vulnerável em testes.
Uma segunda gravação pode se infiltrar durante a janela de corrida, remapear o arquivo e reduzir a contagem de referência, fazendo com que a primeira gravação escreva diretamente no bloco original usando uma referência obsoleta. Como o O_DIRECT ignora a página cache e pula a revalidação, a gravação corrompida é gravada permanentemente no disco.
Impacto e alcance
A Qualys estima que a falha afeta potencialmente mais de 16,4 milhões de sistemas em todo o mundo. Sistemas vulneráveis devem atender a três condições: versão do kernel 4.11 ou posterior sem a correção, sistema de arquivos XFS com reflink=1 habilitado e um diretório gravável por um usuário não privilegiado ao lado de um alvo de alto valor, como um binário SUID-root.
As distribuições confirmadas afetadas incluem RHEL 8/9/10, CentOS Stream 8/9/10, Oracle Linux 8/9/10, Rocky/AlmaLinux 8/9/10, CloudLinux 8/9/10, Amazon Linux 2023 e AL2 (dezembro de 2022+), e Fedora Server 31+. A severidade é classificada como prioridade de emergência, pois permite que um usuário local obtenha root sem deixar artefatos de log do kernel.
Medidas de mitigação recomendadas
Kernel com correção já está disponível e sendo backportado para distribuições empresariais, incluindo RHEL, Oracle Linux, AlmaLinux, Rocky Linux e Fedora. As organizações devem priorizar o patching de sistemas voltados para a internet e multi-inquilino imediatamente, aplicar a atualização de segurança da distribuição relevante e realizar uma reinicialização completa para confirmar que a correção está ativa.
Não há mitigação temporária ou configuração de workaround que neutralize a falha no momento. A única solução confiável é aplicar o patch do kernel e reiniciar o sistema.
Conclusão para CISOs
Esta descoberta destaca a importância de manter kernels atualizados em ambientes Linux críticos, especialmente onde o sistema de arquivos XFS é utilizado com reflink habilitado. A natureza silenciosa da exploração torna a detecção baseada em logs ineficaz, reforçando a necessidade de monitoramento de integridade de arquivos e patches proativos.