Qualys našel v jádře pomocí nástroje Claude Mythos další zranitelnost. Tentokrát se týká souborového systému XFS s podporou reflink, což je v jádře od verze 4.11 z roku 2017. Chyba je vedena jako CVE-2026–64600. Jde o chybu souběhu, neprivilegovaný lokální útočník může zapsat do souborů na XFS, ke kterým nemá práva. Takovým způsobem může získat například oprávnění roota. Největší dopad má chyba na distribuce, které ve výchozím stavu používají XFS jako / s reflink=1. Je tedy nutný novější formát XFS V5 s kontrolními součty metadat crc=1. Dodejme, že starší formát V4 s crc=0 má podporu už jen do září 2030. Distribuce ve výchozím stavu zasažené chybou RefluXFS jsou například o RHEL 8, 9 a 10, Fedora server 31 a novější. Chyba je v jádře opravena od minulého týdne. Více detailů najdete v popisu od Qualys. (zdroj: bleepingcomputer)

A nine-year-old race condition vulnerability in the Linux kernel's XFS filesystem, tracked as CVE-2026-64600, allows local attackers to overwrite protected files and gain root privileges. [...]

RefluXFS, a new Linux kernel flaw disclosed on July 22 and tracked as CVE-2026-64600, lets an unprivileged local user overwrite root-owned files on an XFS filesystem and gain persistent root access. Qualys said default installations of Red Hat Enterprise Linux and its derivatives, Fedora Server, and Amazon Linux can meet the conditions for exploitation. The company demonstrated the race

CVE-2026-64600 lets local users overwrite root-owned files on reflink-enabled XFS systems, preserving metadata and persistent root access after reboot

Sicherheitsexperten der Qualys Threat Research Unit (TRU) haben eine schwerwiegende Schwachstelle im Linux-Kernel identifiziert, die seit rund neun Jahren unentdeckt geblieben ist. Die als „RefluXFS“ bezeichnete Sicherheitslücke (CVE-2026-64600) basiert auf einer sogenannten Race-Condition innerhalb des Copy-on-Write-Pfads des XFS-Dateisystems. Lokalen Angreifern wird es dadurch ermöglicht, ihre Berechtigungen auf das Niveau des Systemadministrators (Root) zu erweitern.Entdeckung durch […] The post RefluXFS: Kritische Linux-Lücke ermöglicht Root-Zugriff auf 16,4 Mio. Systeme appeared first on BornCity.

Die Linux-Entwickler haben innerhalb von nur zwei Tagen mehr als 400 Sicherheitslücken geschlossen – ein beispielloser Vorgang in der Geschichte des Open-Source-Betriebssystems. Zwischen dem 19. und 20. Juli 2026 wurden insgesamt 432 Schwachstellen (CVEs) veröffentlicht. Der massive Sicherheitsupdate-Schub geht maßgeblich auf KI-gestützte Code-Analysen zurück, die kritische Lücken in Kernbereichen wie dem XFS-Dateisystem, Bluetooth-Protokollen und TLS-Handshakes […] The post RefluXFS: KI deckt Root-Lücke auf, 16,4 Mio. Systeme betroffen appeared first on BornCity.

Une nouvelle vulnérabilité critique touche le noyau Linux, cette fois via le système de fichiers XFS. Elle permet à n'importe quel utilisateur local, sans le moindre privilège, de prendre le contrôle total de la machine, sans laisser de trace. Les modèles d'IA les plus avancés avaient promis de devenir un outil

Comments

A nine-year-old race condition vulnerability in the Linux kernel's XFS filesystem, tracked as CVE-2026-64600, allows local attackers to overwrite protected files and gain root privileges.

Qualys Threat Research Unit (TRU) identified CVE-2026-64600, a race condition in the Linux kernel’s XFS filesystem copy-on-write path. An attacker with an ordinary local account can exploit this race…

RefluXFS, a new Linux kernel flaw disclosed on July 22 and tracked as CVE-2026-64600, lets an unprivileged local user overwrite root-owned files on an XFS filesystem and gain persistent root access. Qualys said default installations of Red Hat Enterprise Linux and its derivatives, Fedora Server, and Amazon Linux can meet the conditions for exploitation. The company demonstrated the race

Uma vulnerabilidade crítica no XFS, o sistema de gerenciamento de arquivos do Linux, colocou em risco mais de 16 milhões de sistemas ao redor do mundo. Identificada como **CVE-2026-64600** e apelidada de **RefluXFS** , **a falha esteve oculta no kernel (o núcleo do sistema operacional) desde fevereiro de 2017 e permitiu que invasores locais obtivessem privilégios máximos de administrador (root).** O problema foi descoberto pela equipe de segurança da **Qualys** em um projeto conjunto com ferramentas de inteligência artificial da **Anthropic**. A brecha afetou diretamente distribuições que utilizam o XFS por padrão em servidores, como **Red Hat Enterprise Linux (RHEL), Oracle Linux, Amazon Linux, Fedora, CentOS Stream, Rocky Linux, AlmaLinux** e **CloudLinux**. Sistemas como **Debian, Ubuntu** e**SUSE** , embora não adotem o XFS nativamente, também ficaram expostos nos casos em que o sistema de arquivos foi escolhido de forma manual durante a instalação. ## Como a vulnerabilidade atuou nos sistemas A falha decorreu de uma condição de corrida (race condition) na camada de alocação do sistema de arquivos XFS, especificamente quando a função reflink esteve ativada. Trata-se de uma configuração padrão na maioria das distribuições voltadas para grandes infraestruturas. Ao contrário de brechas comuns, **a RefluXFS operou abaixo das camadas tradicionais de defesa.** Módulos de segurança conhecidos, como SELinux, isolation containers e proteções de memória (KASLR, SMEP e SMAP), não bloquearam o ataque. O invasor clonou um arquivo do sistema para um diretório próprio e manipulou gravações simultâneas na memória. O erro do kernel fez a alteração ser gravada diretamente no disco do arquivo original protegido (como o diretório /etc/passwd ou executáveis do sistema). A modificação permaneceu válida mesmo após a reinicialização da máquina e não gerou nenhum alerta nos relatórios de logs. ## Descoberta via Inteligência Artificial A identificação do erro contou com uma abordagem inédita. A equipe da **Qualys Threat Research Unit** trabalhou em parceria com a **Anthropic** para integrar o modelo de IA **Claude Mythos Preview** ao fluxo de auditoria manual de código. A ferramenta recebeu a missão de procurar condições de corrida semelhantes à histórica vulnerabilidade Dirty COW. **Após análises iterativas, a IA apontou o ponto exato da falha no XFS e gerou um modelo funcional de teste.** Os pesquisadores revisaram a lógica, reproduziram a exploração e notificaram os mantenedores do Linux. A descoberta faz parte da participação da empresa no **Project Glasswing**. Em comunicado oficial, o chefe de pesquisa de ameaças da **Qualys** , Saeed Abbasi, analisou o impacto do uso de inteligência artificial na segurança cibernética: “A RefluXFS é menos sobre o que a IA pode fazer e mais sobre como ela é usada de forma responsável. A lição não é que a IA pode ser apontada para um software para gerar explorações, mas sim que a IA, combinada com o julgamento de especialistas, ajuda os defensores a encontrar e fechar falhas graves antes que sejam abusadas”, explicou. ## Correção e recomendações Os desenvolvedores do kernel lançaram a correção oficial em 16 de julho. No comunicado, Abbasi reforçou o alerta sobre a gravidade e a urgência da atualização nos servidores corporativos. “Recomenda-se a correção imediata do kernel para neutralizar esta vulnerabilidade. A exploração tem sucesso consistente sob configurações padrão de proteção e a modificação no disco sobrevive à reinicialização do sistema. Os kernels corrigidos pelos fornecedores já estão disponíveis e sendo portados para distribuições corporativas. No momento, não há mitigações práticas ou alterações temporárias de configuração disponíveis” , pontuou o pesquisador. A orientação oficial emitida pela **Qualys** e acompanhada pelas distribuições afetadas é que os administradores de sistemas apliquem imediatamente os pacotes de atualização e realizem a reinicialização obrigatória dos servidores para efetivar a proteção. Por falar em novas descobertas em segurança digital, o vírus ACR Stealer também entrou no radar de grandes empresas de tecnologia. A Microsoft identificou um aumento expressivo nos ataques que utilizam este programa malicioso, que atua de forma silenciosa. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.

Einblick in die RefluXFS-Lücke: Ein einfaches Konto kann Root-Zugriff auf Linux-XFS-Systeme erlangen.

Daily Recap, Microsoft 365 experienced a service outage impacting Teams and SharePoint, while Exchange Online also faced a mailbox quarantine issue during active repair. Multiple Linux and application risks were reported, including the RefluXFS root-privilege flaw and the Windmill authentication-bypass data exposure being exploited, alongside new threats such as msaRAT routing C2 through Chrome and Edge. #Microsoft365 #Teams #SharePoint #ExchangeOnline #RefluXFS #root #Ubuntu #snap-confine #Windmill #Chrome #Edge #msaRAT

A nine-year-old Linux kernel XFS race condition tracked as CVE-2026-64600 lets local attackers overwrite protected files and gain root privileges, and Qualys dubbed the flaw RefluXFS. The issue affects many major enterprise Linux systems with XFS reflink enabled, persists across reboots, and has already been patched in the Linux kernel. #RefluXFS #CVE-2026-64600 #XFS #LinuxKernel

Posted by Marco Benatto on Aug 03 Sorry for the late reply, I haven't run any tests using an XFS filesystem exported via an NFS share, nor have I tested any layered filesystem running on top of XFS. I'm presuming that if the filesystem running on top of XFS passes along the reflink feature, the exploit is still valid however the overhead introduced by upper layers may change the race window a bit and make it harder to exploit, at least. I see Darrick is copied in this...

Posted by Darrick J. Wong on Aug 03 I don't. I imagine that it's still exploitable if (a) your nfs server itself does directio and (b) your nfs client can send directio writes to the server, but given the extra rpc work involved I'm not surprised that it's much harder to reproduce than running it against a raw xfs filesystem. --D

Posted by Dr. Thomas Orgis on Jul 31 Am Wed, 22 Jul 2026 18:07:03 -0300 schrieb Marco Benatto <mbenatto () redhat com>: I'm a bit late, but I do wonder if the issue also pertains to XFS fs exported via NFS. It seems like the reflink feature is passed through, but so far I was not able reproduce using https://github.com/litosmartin/CVE-2026-64600-Refluxfs-PoC/blob/main/refluxfs.c I guess the race condition is avoided when going through the NFS stack, but maybe...

A nine-year-old race condition vulnerability in the Linux kernel's XFS filesystem, tracked as CVE-2026-64600, allows local attackers to overwrite protected files and gain root privileges. [...]