RefluXFS (CVE-2026-64600): lokalny root w Linuksie

Zespół Qualys Threat Research Unit opublikował 22 lipca 2026 roku analizę podatności CVE-2026-64600, nazwanej RefluXFS. To błąd w systemie plików XFS w jądrze Linuksa, który pozwala nieuprzywilejowanemu użytkownikowi lokalnemu uzyskać uprawnienia root. Poniżej trzymamy się faktów potwierdzonych przez Qualys i dostawców dystrybucji — bez dopisywania historii o rzekomych kampaniach, których nikt nie ujawnił.

Na czym polega błąd

RefluXFS to wyścig (race condition) w ścieżce kopiowania-przy-zapisie (copy-on-write) systemu XFS, konkretnie przy plikach z włączonym reflink. Gdy dwa równoległe zapisy O_DIRECT trafiają w ten sam plik reflinkowany, jądro na moment zwalnia blokadę i-węzła, czekając na miejsce w dzienniku transakcji. W tym oknie drugi zapisujący zmienia stan referencji bloku. Pierwszy proces, wznawiając pracę, ufa nieaktualnym metadanym i zapisuje bezpośrednio do oryginalnego bloku zamiast do prywatnej kopii.

Praktyczny skutek jest poważny: publiczny kod dowodowy (PoC) Qualys niezawodnie zdobywa roota, chirurgicznie modyfikując /etc/passwd lub binarkę z bitem SUID. Zmiany utrzymują się po restarcie i, co istotne dla obrońcy, nie zostawiają wpisów w logach jądra.

Kogo dotyczy

Błąd istnieje od jądra 4.11 (2017) — trafił do kodu wraz z commitem 3c68d44a2b49. Do wykorzystania potrzebne są równocześnie: system plików XFS z opcją reflink=1 (domyślną na większości dystrybucji korporacyjnych), możliwość uruchomienia kodu lokalnie, katalog zapisywalny dla atakującego oraz wartościowy cel — plik konfiguracyjny lub binarka SUID należąca do roota.

Qualys wymienia jako podatne m.in.: RHEL 8, 9 i 10, CentOS Stream, Oracle Linux, Rocky Linux, AlmaLinux, CloudLinux 8/9/10, Fedora Server 31+, Amazon Linux 2023 oraz Amazon Linux 2 (od grudnia 2022). RHEL 7 nie jest podatny. Firma szacuje skalę na ponad 16,4 mln systemów.

Na moment publikacji żaden dostawca nie zgłosił wykorzystania w rzeczywistych atakach. To dobra wiadomość, ale nie powód do zwłoki — PoC jest publiczny, a łatanie jądra bywa najwolniejszym elementem cyklu aktualizacji.

Dlaczego lokalny root wciąż jest groźny

Podatność wymaga wcześniejszego dostępu lokalnego, więc łatwo ją zbagatelizować. To błąd. Lokalna eskalacja jest kluczowa wszędzie tam, gdzie na jednej maszynie kod uruchamiają różni, niekoniecznie zaufani użytkownicy: współdzielone serwery hostingowe, runnery CI/CD, środowiska deweloperskie, systemy wielodostępne. W takim modelu przejęcie konta zwykłego użytkownika (np. przez podatną aplikację webową) i doklejenie RefluXFS zamienia mały przyczółek w pełną kontrolę nad hostem.

Ciekawostką jest sposób odkrycia: Qualys znalazł błąd, korzystając z modelu Claude Mythos Preview od Anthropic, prosząc go o wskazanie luki podobnej do Dirty COW. Ten wątek — modele AI jako narzędzie do wyszukiwania podatności w jądrze — rozwijamy osobno w tekście modele AI zaczynają znajdować prawdziwe luki 0-day.

Co zrobić

1. Zinwentaryzuj systemy z XFS i reflinkiem. Sprawdź xfs_info / (pole reflink=1) na hostach, których to dotyczy. To określa realny zasięg u Ciebie.
2. Wgraj aktualizacje jądra od dostawcy. Poprawki są już backportowane do RHEL, Oracle Linux, AlmaLinux, Rocky Linux, CloudLinux i Fedory. Nie ma pewnej tymczasowej mitygacji — łatka to jedyne rozwiązanie.
3. Zrestartuj maszyny. Działające jądro pozostaje podatne do czasu przeładowania. Sama instalacja pakietu bez restartu nie zamyka luki — to najczęstszy błąd przy podatnościach jądra.
4. Priorytetyzuj hosty wielodostępne. Runnery CI, hosting współdzielony, serwery deweloperskie i wszędzie, gdzie niezaufany użytkownik może uruchomić kod, mają najkrótsze okno na aktualizację.
5. Wpisz to w proces, nie w jednorazową akcję. Inwentaryzacja → wdrożenie → restart → weryfikacja wersji jądra to standardowy cykl zarządzania podatnościami.

Najważniejszy wniosek

RefluXFS nie wymaga paniki, lecz zdyscyplinowanego łatania jądra i — co ważne — restartu. Brak śladów w logach oznacza, że po fakcie trudno udowodnić wykorzystanie, więc lepiej zamknąć okno ekspozycji, zanim ktokolwiek je znajdzie. Jeśli prowadzisz systemy wielodostępne i chcesz sprawdzić, jak szybko reagujesz na taki scenariusz, porozmawiajmy.

Źródła: Qualys — RefluXFS (CVE-2026-64600), The Hacker News, BleepingComputer.