Une faille majeure a été découverte dans le système de fichiers XFS du noyau Linux. Baptisée RefluXFS, cette vulnérabilité permet à un utilisateur local sans privilèges d’obtenir un accès root. Les distributions telles que RHEL, CentOS et AlmaLinux sont particulièrement concernées, ce qui soulève une alerte importante pour les administrateurs système.
RefluXFS, identifiée sous la référence CVE-2026-64600, repose sur une race condition vieille de neuf ans. Cette faille exploite la fonctionnalité reflink du système de fichiers XFS pour écraser silencieusement des fichiers critiques appartenant à root. L’absence de traces dans les journaux rend cette attaque presque indécelable.
Découverte grâce aux recherches conjuguées de Qualys et Anthropic, RefluXFS remet en question de nombreux mécanismes de défense classiques présents sur les systèmes Linux. Voici une plongée technique dans cette faille qui mérite toute l’attention.
Comment RefluXFS exploite le système de fichiers XFS pour escalader les privilèges root
RefluXFS tire parti de la fonction reflink introduite dans XFS, qui permet de cloner des fichiers sans recopier les données. Un utilisateur standard peut ainsi dupliquer un fichier protégé, par exemple /etc/passwd, en utilisant simplement un droit en lecture. Cela crée une copie partageant les mêmes blocs physiques disque que le fichier original.
Le problème apparaît lors d’une écriture en mode direct (O_DIRECT) sur ce clone. Le noyau libère un instant un verrou, puis effectue une vérification obsolète sur le partage des blocs. Une écriture concurrente peut alors réécrire les données sur les blocs d’origine sans que l’inode ni les permissions ne soient modifiés.
Cette situation est comparable à un artisan qui repeindrait un mur qu’on lui avait demandé de ne pas toucher, en cachette et sans laisser de traces visibles. Résultat : un fichier root modifié illégalement peut exécuter du code avec tous les privilèges, offrant un accès root furtif.
Le danger insidieux : un accès root sans traces et persistant
Ce qui rend RefluXFS particulièrement redoutable, c’est que la modification s’écrit au niveau bloc sur le disque. Cela signifie que les métadonnées restent intactes. Le binaire modifié conserve son bit SUID, autorisant l’élévation de privilèges lors de son exécution.
De plus, cette altération persiste après un redémarrage, ce qui rend l’intrusion durable. Aucun journal du noyau ne logue cette activité, détournant les outils habituels de détection. C’est un peu comme favoriser un voleur qui remonte sa montre après avoir cassé une fenêtre.
Les mécanismes de protection connus comme SELinux, KASLR, SMEP ou SMAP ne détectent rien, car la faille manipule la couche profonde d’allocation des blocs du système de fichiers. Une défaillance dans cette mécanique rend inutiles les défenses classiques de sécurité.
Machines concernées et conditions d’exploitation de la faille RefluXFS sur RHEL, CentOS et AlmaLinux
La vulnérabilité touche tout noyau Linux depuis la version 4.11, soit presque toutes les versions maintenues aujourd’hui. Le système de fichiers doit être XFS et utiliser reflink activé (reflink=1). Enfin, un utilisateur non privilégié doit pouvoir écrire dans un répertoire situé sur la même partition que les fichiers critiques root.
Ces conditions sont réunies dans de nombreuses installations par défaut. Par exemple, le répertoire /var/tmp est souvent accessible en écriture à tous les utilisateurs, et se trouve sur la même partition que /etc et /usr/bin. Cela crée un terrain fertile pour l’exploitation de la faille.
Les distributions impactées incluent RHEL 8, 9 et 10, CentOS Stream, AlmaLinux, Rocky Linux, Oracle Linux, ainsi qu’Amazon Linux. Ensemble, ces systèmes réunissent environ 16,4 millions de machines vulnérables selon Qualys. Debian, Ubuntu ou Fedora Workstation ne sont pas concernées en configuration standard, car elles n’utilisent pas XFS pour la racine.
SELinux et autres protections : pourquoi ils ne suffisent pas contre RefluXFS
Il est tentant de se réfugier derrière SELinux en mode enforcing, pensant être à l’abri. Cette croyance est malheureusement erronée avec RefluXFS. Les protections SELinux, en mode strict, ne peuvent pas bloquer cette faille.
Le verrouillage du noyau, les conteneurs isolés, et même KASLR, SMEP ou SMAP ne détectent pas ou n’empêchent pas l’exploitation. La faille opère en contournant la gestion standard des permissions au niveau du système de fichiers, rendant ces défenses inefficaces.
Un ingénieur de Red Hat a proposé une solution temporaire : un script SystemTap qui désactive la fonction xfs_file_remap_range, source du problème. Cette piste est une parade d’urgence, mais elle casse la fonctionnalité reflink pour les applications qui en dépendent.
Le correctif officiel et bonnes pratiques pour se protéger de RefluXFS en 2026
La bonne nouvelle réside dans la disponibilité d’un patch intégré au noyau Linux depuis le 16 juillet 2026. Ce correctif corrige la race condition au cœur de reflink dans XFS et neutralise l’attaque. Les distributions basées sur RHEL ont déjà publié des mises à jour ciblées.
Pour RHEL et ses dérivés, les versions corrigées sont 4.18.0-553.144.1.el8_10 pour la branche 8.10, 5.14.0-687.26.1.el9_8 pour la 9.8 et 6.12.0-211.34.1.el10_2 pour la 10.2. Ces mises à jour sont à appliquer sans délai.
En attendant, désactiver reflink avec un script ou modifier la configuration de vos systèmes sont des mesures d’urgence. L’enjeu est clair : mieux vaut prévenir que guérir, surtout face à une faille aussi perfide qui échappe aux protections traditionnelles.