Uma grave vulnerabilidade foi descoberta no sistema de arquivos XFS do kernel Linux. Apelidada de RefluXFS, essa vulnerabilidade permite que um usuário local sem privilégios obtenha acesso root. Distribuições como RHEL, CentOS e AlmaLinux são particularmente afetadas, o que representa uma preocupação significativa para administradores de sistemas.
O RefluXFS, identificado como CVE-2026-64600, explora uma vulnerabilidade de nove anos. Essa falha explora a funcionalidade de link simbólico do sistema de arquivos XFS para sobrescrever silenciosamente arquivos críticos pertencentes ao usuário raiz. A ausência de registros de log torna esse ataque praticamente indetectável.
Descoberta através da pesquisa conjunta da Qualys e da Anthropic, a vulnerabilidade RefluXFS desafia muitos mecanismos de defesa clássicos presentes nos sistemas Linux. Aqui está uma análise técnica dessa vulnerabilidade, que merece toda a nossa atenção.
Como o RefluXFS utiliza o sistema de arquivos XFS para elevar os privilégios de root.
O RefluXFS aproveita o recurso de link simbólico introduzido no XFS, que permite clonar arquivos sem copiar os dados. Um usuário padrão pode, portanto, duplicar um arquivo protegido, como /etc/passwd, simplesmente usando acesso de leitura. Isso cria uma cópia que compartilha os mesmos blocos de disco físico que o arquivo original.
O problema surge durante uma escrita direta (O_DIRECT) neste clone. O kernel libera brevemente um bloqueio e, em seguida, realiza uma verificação desatualizada no compartilhamento de blocos. Uma escrita simultânea pode então reescrever os dados nos blocos originais sem que o inode ou as permissões sejam modificados.
Essa situação é comparável à de um artesão que repinta uma parede que foi instruído a não tocar, secretamente e sem deixar vestígios visíveis. O resultado: um arquivo raiz modificado ilegalmente pode executar código com privilégios totais, concedendo acesso root furtivo.
O perigo insidioso: acesso root persistente e não rastreável
O que torna o RefluXFS particularmente formidável é que a modificação é gravada no nível do bloco no disco. Isso significa que os metadados permanecem intactos. O binário modificado retém seu bit SUID, permitindo a escalada de privilégios durante sua execução.
Além disso, essa alteração persiste após a reinicialização, tornando a intrusão persistente. Nenhum registro do kernel documenta essa atividade, burlando assim as ferramentas de detecção padrão. É um pouco como favorecer um ladrão que dá corda no relógio depois de quebrar uma janela.
Mecanismos de proteção conhecidos, como SELinux, KASLR, SMEP ou SMAP, falham em detectar qualquer coisa porque a vulnerabilidade manipula a camada profunda de alocação de blocos no sistema de arquivos. Uma falha nesse mecanismo torna as defesas de segurança tradicionais ineficazes.
Máquinas afetadas e condições para exploração da vulnerabilidade RefluXFS no RHEL, CentOS e AlmaLinux
A vulnerabilidade afeta todos os kernels Linux desde a versão 4.11, que abrange quase todas as versões mantidas atualmente. O sistema de arquivos deve ser XFS e utilizar o recurso de link simbólico (reflink=1). Por fim, um usuário sem privilégios de administrador deve ter permissão de escrita em um diretório localizado na mesma partição que os arquivos raiz críticos.
Essas condições são atendidas em muitas instalações padrão. Por exemplo, o diretório /var/tmp geralmente tem permissão de escrita para todos os usuários e está localizado na mesma partição que /etc e /usr/bin. Isso cria um ambiente propício para a exploração da vulnerabilidade.
As distribuições afetadas incluem RHEL 8, 9 e 10, CentOS Stream, AlmaLinux, Rocky Linux, Oracle Linux e Amazon Linux. Juntos, esses sistemas compreendem aproximadamente 16,4 milhões de máquinas vulneráveis, de acordo com a Qualys. Debian, Ubuntu e Fedora Workstation não são afetados em sua configuração padrão, pois não utilizam XFS para o diretório raiz.
SELinux e outras proteções: por que elas não são suficientes contra o RefluXFS
É tentador se refugiar atrás do SELinux no modo de imposição, pensando que você está seguro. Infelizmente, essa crença é equivocada no caso do RefluXFS. As proteções do SELinux, mesmo no modo estrito, não conseguem bloquear essa vulnerabilidade.
O bloqueio do kernel, os contêineres isolados e até mesmo o KASLR, SMEP ou SMAP não detectam ou impedem a exploração. A vulnerabilidade opera contornando o gerenciamento de permissões padrão em nível de sistema de arquivos, tornando essas defesas ineficazes.
Um engenheiro da Red Hat propôs uma solução temporária: um script SystemTap que desativa a função xfs_file_remap_range, a origem do problema. Esta é uma solução paliativa de emergência, mas quebra a funcionalidade de links simbólicos para aplicações que dependem dela.
Patch oficial e melhores práticas para proteção contra RefluXFS em 2026
A boa notícia é que uma correção integrada ao kernel do Linux está disponível desde 16 de julho de 2026. Essa correção resolve a condição de corrida que estava no cerne do reflink no XFS e neutraliza o ataque. Distribuições baseadas em RHEL já lançaram atualizações específicas.
Para o RHEL e seus derivados, as versões corrigidas são 4.18.0-553.144.1.el8_10 para a branch 8.10, 5.14.0-687.26.1.el9_8 para a 9.8 e 6.12.0-211.34.1.el10_2 para a 10.2. Essas atualizações devem ser aplicadas sem demora.
Entretanto, desativar o Reflink com um script ou modificar a configuração do sistema são medidas de emergência. A importância disso é clara: prevenir é melhor que remediar, especialmente quando se trata de uma vulnerabilidade tão perigosa que burla as proteções tradicionais.