Alerta Crítico: Falha RefluXFS no Kernel Linux Permite Acesso Root via XFS (CVE-2026-64600)

A vulnerabilidade RefluXFS (CVE-2026-64600) é um alerta crítico para a segurança do kernel Linux. Esta falha permite que um atacante local, sem privilégios, escale seu acesso para root. O problema mora em uma condição de corrida no caminho de copy-on-write (CoW) do sistema de arquivos XFS, especificamente quando dois writes O_DIRECT concorrentes miram o mesmo arquivo reflinked. Isso permite sobrescrever arquivos vitais como /etc/passwd ou binários SUID-root diretamente na camada de blocos do disco.

O grande perigo da RefluXFS é sua furtividade e persistência. As modificações persistem mesmo após o reboot do sistema e não deixam rastros nos logs do kernel. Ela afeta kernels Linux a partir da versão 4.11, lançada em 2017, em sistemas que usam XFS com reflink=1, incluindo distribuições corporativas como RHEL, Oracle Linux e Amazon Linux. Estima-se que mais de 16 milhões de sistemas estejam vulneráveis globalmente. Esta falha contorna as defesas tradicionais, como KASLR, SMEP, SMAP e SELinux, porque atua em um nível muito baixo, na alocação do sistema de arquivos. Não há mitigação prática além da aplicação imediata dos patches.

A descoberta da RefluXFS marca uma evolução no método de pesquisa de vulnerabilidades. Ela foi identificada através de uma colaboração entre a Qualys e a Anthropic, utilizando o modelo de IA Claude Mythos Preview. Isso mostra o potencial da IA para acelerar a identificação de falhas complexas no código, ao mesmo tempo que mantém a supervisão humana rigorosa. No cenário de segurança do kernel Linux, vimos uma sequência de vulnerabilidades recentes.

A RefluXFS se destaca porque, diferentemente de falhas anteriores como a GhostLock ou a Bad Epoll, que são muitas vezes do tipo "use-after-free", esta é uma condição de corrida no sistema de arquivos XFS. Além disso, a RefluXFS oferece um desafio maior em termos de defesa, pois contorna praticamente todas as mitigações de segurança padrão do kernel, operando em uma camada de abstração inferior que as torna ineficazes.

Para empresas e administradores de sistemas, a RefluXFS é um problema de altíssima prioridade. Sua capacidade de conceder acesso root sem deixar vestígios e resistir a reboots significa que um atacante pode estabelecer persistência e controle total de um sistema comprometido de forma discreta. Ambientes com acesso à internet ou multi-tenant são particularmente expostos.

A falha afeta uma vasta base de sistemas, exigindo uma varredura urgente e a aplicação imediata de patches. A ineficácia das defesas habituais significa que a única proteção confiável é a atualização do kernel. Ignorar este alerta expõe dados sensíveis, infraestrutura crítica e a integridade de toda a rede a riscos inaceitáveis.