Kerentanan kondisi ras berusia sembilan tahun di sistem file XFS kernel Linux, dilacak sebagai CVE-2026-64600, memungkinkan penyerang lokal menimpa file yang dilindungi dan mendapatkan hak akses root.
Dijuluki RefluXFS oleh Qualys Threat Research Unit (TRU), yang menemukan dan melaporkannya, kelemahan keamanan ini memengaruhi sistem dengan sistem file XFS dengan reflink diaktifkan (konfigurasi default pada distribusi Linux perusahaan besar), menjalankan kernel Linux v4.11 atau lebih baru, dengan direktori yang dapat ditulis oleh pengguna lokal yang tidak memiliki hak istimewa, dan target bernilai tinggi (file konfigurasi milik root atau biner root SUID).
Selain itu, pertahanan standar (termasuk modul keamanan kernel Linux SELinux yang Ditingkatkan Keamanan, penguncian kernel, mekanisme isolasi kontainer, dan fitur perlindungan memori seperti KASLR, SMEP, dan SMAP) tidak memblokir serangan RefluXFS karena kelemahan tersebut beroperasi pada lapisan alokasi sistem file, di bawah tempat perlindungan tersebut berlaku.
Menurut Qualys, eksploitasi sangat andal, tidak meninggalkan keluaran log kernel, dan modifikasi pada disk tetap bertahan saat sistem di-boot ulang.
“Penyerang mengkloning ulang file target (misalnya /etc/passwd, atau biner root SUID seperti /usr/bin/su) ke dalam file awal yang mereka miliki, lalu melakukan penulisan O_DIRECT secara bersamaan pada file awal itu,” tim Qualys TRU menjelaskan dalam tulisan teknis terperinci diterbitkan pada hari Rabu.
“Jendela lock-drop di jalur alokasi copy-on-write kernel memungkinkan salah satu dari penulisan tersebut mendarat, bukan di penyimpanan milik penyerang, tetapi di blok fisik yang masih mendukung file asli. Perubahan dilakukan langsung pada disk, tetap ada saat reboot, tidak menghasilkan keluaran log kernel, dan tidak menyentuh inode file target — sehingga biner SUID-root yang dimodifikasi mempertahankan bit SUID-nya.”
RefluXFS sudah ada sejak kernel versi 4.11, setelah diperkenalkan pada bulan Februari 2017 oleh melakukan 3c68d44a2b49. Ini telah hadir di setiap kernel jalur utama dan stabil sejak itu dan ditambal pada 16 Juli setelahnya melakukan 2f4acd0telah digabungkan ke dalam pohon sumber kernel Linux.
Daftar distro Linux yang terkena dampak termasuk Red Hat Enterprise Linux (RHEL), Oracle Linux, Amazon Linux dan Fedora, serta CentOS Stream, Rocky Linux, AlmaLinux dan CloudLinux.
Qualys memperkirakan bahwa hal ini berpotensi mempengaruhi lebih dari 16,4 juta sistem berdasarkan analisis menggunakan perangkat lunak Cybersecurity Asset Management miliknya.
Saeed Abbasi, kepala Unit Penelitian Ancaman Qualys, mengatakan penemuan ini muncul dari inisiatif penelitian antara Qualys dan Anthropic, di mana para peneliti mengintegrasikan model AI Claude Mythos Preview ke dalam alur kerja audit manual mereka.
Pratinjau Claude Mythos ditugaskan untuk berburu kondisi balapan yang menyerupai “SAPI Kotor” kelas kerentanan, dan setelah penyempurnaan berulang mengidentifikasi kelemahan di XFS dan menghasilkan bukti konsep yang fungsional. Abbasi menambahkan bahwa peneliti keamanan Qualys kemudian meninjau alasan model, mereproduksi eksploitasi, dan secara independen memverifikasi semua klaim teknis sebelum mengoordinasikan pengungkapan dengan pengelola kernel.
“Patching kernel segera disarankan untuk menetralisir kerentanan ini. Eksploitasi berhasil secara konsisten di bawah pengaturan pengerasan standar, dan modifikasi pada disk bertahan saat sistem di-boot ulang,” said Abbasi.
“Kernel yang diperbaiki oleh vendor kini tersedia dan di-backport ke distribusi perusahaan. Organisasi harus memprioritaskan patching sistem yang terbuka dan multi-penyewa serta memastikan reboot untuk memverifikasi pembaruan. Sampai sekarang, tidak ada mitigasi yang dapat diandalkan atau praktis atau perubahan konfigurasi sementara yang tersedia.”
RefluXFS adalah yang terbaru dari serangkaian panjang kerentanan eskalasi hak istimewa Linux yang diungkapkan sejak awal tahun, termasuk Sakelar CIFS, Pencurian Pin, Salin Gagal, Pecahan Kotor, Fragnesia, Paket2TheRootDan Dekripsi Kotor/DirtyCBC.
Uji setiap lapisan sebelum penyerang melakukannya
Tim keamanan mencatat 54% serangan yang berhasil dan hanya memberikan peringatan 14%. Sisanya bergerak melalui lingkungan Anda tanpa terlihat.
Whitepaper Picus menunjukkan bagaimana simulasi pelanggaran dan serangan menguji aturan SIEM dan EDR Anda sehingga ancaman berhenti lolos saat terdeteksi.
