În acest material discutăm despre RefluXFS, o vulnerabilitate Linux.
O vulnerabilitate descoperită în sistemul de fișiere XFS al kernelului Linux poate permite unui atacator local să modifice fișiere protejate și să obțină privilegii de root. Problema, identificată drept CVE-2026-64600 și denumită RefluXFS, a existat în kernel timp de aproximativ nouă ani.
Vulnerabilitatea afectează sistemele Linux care utilizează sistemul de fișiere XFS cu funcția reflink activată, o configurație implicită în mai multe distribuții Linux destinate mediilor enterprise. În anumite condiții, un utilizator fără privilegii administrative poate exploata o problemă de tip race condition pentru a modifica fișiere importante de sistem.
Descoperirea reprezintă un nou exemplu al faptului că niciun sistem de operare nu este complet imun la vulnerabilități. Chiar și platformele considerate în mod tradițional mai sigure pot conține probleme profunde, ascunse în componente de bază și care pot rămâne nedetectate ani întregi.
Vulnerabilitatea RefluXFS poate duce la obținerea privilegiilor de root
CVE-2026-64600 afectează implementarea XFS din kernelul Linux începând cu versiunea 4.11, lansată în 2017. Problema a fost introdusă în acel an și a rămas prezentă în versiunile mainline și stable ale kernelului până când a fost remediată printr-un patch integrat în iulie 2026.
Atacul necesită acces local la sistem, însă nu și privilegii administrative. În scenariul descris de cercetători, atacatorul poate folosi funcționalitatea reflink pentru a crea o clonă a unui fișier țintă, cum ar fi /etc/passwd sau un binar SUID cu privilegii de root. Prin exploatarea unei ferestre de concurență în mecanismul copy-on-write al sistemului de fișiere, datele pot fi scrise în blocul fizic care deservește în continuare fișierul original.
În acest fel, atacatorul poate modifica direct conținutul de pe disc fără ca inode-ul fișierului țintă să fie modificat. Acest detaliu este important deoarece un binar SUID modificat își poate păstra privilegiile speciale, făcând posibilă escaladarea privilegiilor până la nivelul root.
Potrivit cercetătorilor, exploatarea este foarte fiabilă, modificarea persistă după repornirea sistemului și nu generează în mod normal mesaje în logurile kernelului. Acest lucru poate îngreuna detectarea atacului după ce acesta a avut loc.
Ce sisteme Linux sunt afectate
Lista distribuțiilor potențial afectate include mai multe platforme utilizate în mediile enterprise și cloud. Printre acestea se numără Red Hat Enterprise Linux, Oracle Linux, Amazon Linux, Fedora, CentOS Stream, Rocky Linux, AlmaLinux și CloudLinux.
Problema apare în special în situațiile în care este utilizat XFS cu reflink activat, există directoare accesibile pentru utilizatori fără privilegii și poate fi identificat un fișier important de sistem ca țintă.
Cercetătorii estimează că vulnerabilitatea ar putea afecta peste 16,4 milioane de sisteme, pe baza analizelor realizate asupra infrastructurilor monitorizate.
Mecanismele de securitate obișnuite nu blochează atacul
Unul dintre cele mai importante aspecte ale vulnerabilității este faptul că mecanisme de securitate precum SELinux, kernel lockdown, izolarea containerelor, KASLR, SMEP și SMAP nu pot opri în mod direct atacul RefluXFS.
Motivul este că vulnerabilitatea operează la nivelul alocării blocurilor sistemului de fișiere, sub nivelul la care acționează multe dintre aceste mecanisme de protecție. Cu alte cuvinte, problema nu este exploatată printr-un atac clasic asupra memoriei sau printr-o simplă ocolire a permisiunilor, ci printr-un comportament problematic în modul în care sistemul de fișiere gestionează anumite operațiuni de scriere.
Pentru acest motiv, cercetătorii recomandă aplicarea imediată a actualizărilor de securitate disponibile. În cazul sistemelor afectate, actualizarea kernelului trebuie urmată de o repornire pentru ca noua versiune să fie încărcată efectiv.
Vulnerabilitatea a fost descoperită cu ajutorul inteligenței artificiale
Descoperirea RefluXFS a avut loc în cadrul unei inițiative de cercetare desfășurate de Qualys împreună cu Anthropic. Cercetătorii au folosit modelul Claude Mythos Preview ca parte a unui proces de audit manual destinat identificării unor vulnerabilități de tip race condition.
Modelul a fost orientat către căutarea unei probleme care să semene cu vulnerabilitățile din clasa Dirty COW. După mai multe etape de analiză și rafinare, acesta a identificat problema din XFS și a generat un proof-of-concept funcțional.
Ulterior, cercetătorii Qualys au analizat independent rezultatele, au reprodus exploatarea și au verificat afirmațiile tehnice înainte de coordonarea dezvăluirii cu dezvoltatorii kernelului Linux. Cazul arată modul în care inteligența artificială poate fi utilizată ca instrument suplimentar în cercetarea vulnerabilităților, fără ca verificarea umană să fie eliminată din proces.
Concluzie
Vulnerabilitatea RefluXFS reprezintă un avertisment important pentru administratorii de sisteme Linux, în special pentru cei care gestionează infrastructuri enterprise, servere multi-tenant și medii cloud. O problemă introdusă în kernel în 2017 a rămas nedetectată timp de aproape un deceniu și poate permite unui utilizator local fără privilegii să modifice fișiere protejate și să ajungă la privilegii de root.
Cazul arată, de asemenea, că mecanismele moderne de hardening nu pot acoperi automat toate clasele de vulnerabilități. Securitatea unui sistem Linux depinde atât de arhitectura platformei, cât și de actualizarea constantă a componentelor de bază.
Pentru organizațiile care utilizează sisteme afectate, aplicarea patch-urilor disponibile și repornirea sistemelor reprezintă măsurile recomandate. Într-un peisaj în care vulnerabilitățile pot rămâne ascunse ani întregi, actualizarea regulată a kernelului rămâne una dintre cele mai importante măsuri de securitate.
Dacă aveți nevoie de ajutor pentru securizarea companiei, vă stăm la dispoziție.
Zemernett este o companie de externalizare IT care reușește cu succes atât să susțină buna funcționare a infrastructurilor, cât și să implementeze soluții tehnice moderne, ajutând companiile client să devină conforme NIS2 (și să rămână conforme pe termen lung).
