RefluXFS漏洞正在影响你的Linux服务器
2026年7月22日，Qualys威胁研究单元（TRU）正式披露了一个编号为 CVE-2026-64600 的 Linux 内核高危漏洞，代号“RefluXFS”。
这是一个严重的本地提权漏洞：任何没有特权的普通本地用户，只需要几秒钟，就能直接获得主机的 root 权限——而且整个过程不留下任何内核日志，重启后依然生效。
紧急优先级（Emergency Priority） ——Qualys 官方将此次漏洞列为最高紧急级别。
漏洞核心：一个潜伏了9年的竞态条件
RefluXFS 的根源在于 Linux 内核 XFS 文件系统的写时复制（Copy-on-Write）路径中存在一个竞态条件。
这个漏洞最早可以追溯到 2017年2月发布的 Linux 内核 4.11 版本，由提交 3c68d44a2b49 引入。此后每一个主线内核和稳定版内核都携带这个漏洞，直到 2026 年 7 月 16 日修复补丁被合并进内核源码树。
攻击原理并不复杂：
- 攻击者通过 reflink（文件克隆）将目标文件（如
/etc/passwd 或一个 SUID-root 二进制文件）克隆到一个自己可控的临时文件中。
- 然后对克隆文件发起两个并发的 O_DIRECT 写入进行竞争。
- 内核在等待事务日志空间时会短暂释放 inode 锁——就在这短短一瞬间，一个过期的块地址绕过了引用计数检查。
- 结果：本该写入克隆文件的数据，直接落到了原始文件所在的物理磁盘块上。
关键点：O_DIRECT 绕过页缓存、跳过重新验证，写入直接落盘。目标文件的 inode 完全不变——一个被篡改的 SUID-root 二进制文件依然保留着 SUID 位。
影响范围：1640万台系统面临风险
根据 Qualys 基于其网络安全管理平台的分析，全球约有 1640 万台系统可能受此漏洞影响。
受影响需同时满足三个条件：
- ✅ 内核版本 v4.11 或更高（2017 年至今）
- ✅ XFS 文件系统启用 reflink（自 2019 年起已是 mkfs.xfs 默认选项）
- ✅ 存在普通用户可写的目录 + root 拥有的高价值目标文件
已确认受影响的主流发行版：
- RHEL 8/9/10、CentOS Stream 8/9/10
- Oracle Linux 8/9/10、Rocky/AlmaLinux 8/9/10
- Amazon Linux 2023 & AL2
- Fedora Server 31+
Debian、Ubuntu、SUSE 默认不将 XFS 作为根文件系统，仅在管理员手动选择启用 reflink 的 XFS 时才暴露风险。
为什么常规加固措施全部失效？
这是 RefluXFS 最令人担忧的地方——它从设计层面绕过了几乎所有主流安全防御机制：
- KASLR、SMEP、SMAP：这些内存保护机制针对的是内存破坏攻击，而 RefluXFS 工作在文件系统分配层
- SELinux Enforcing 模式：在测试中未能阻断受影响路径
- 内核锁定（Kernel Lockdown）：对 O_DIRECT 和 FICLONE 调用没有限制
- 容器隔离、seccomp、用户命名空间：均无法触及这一攻击层面
值得关注：AI辅助发现的新范式
这是 Qualys 与 Anthropic 联合研究项目的成果，研究人员将 Claude Mythos Preview 模型整合进人工审计流程，要求模型在 Linux 内核中寻找类似 Dirty COW 的竞态条件漏洞。
经过多轮迭代优化提示词后，模型成功定位了 XFS 中的这个竞态条件，并生成了一个可用的提权概念验证（PoC）。 随后 Qualys 安全工程师独立复现并验证了所有技术细节。
Qualys 威胁研究部负责人 Saeed Abbasi 对此表示：“RefluXFS 的意义不在于 AI 能做什么，而在于如何负责任地使用它。AI 与专家判断相结合，能帮助防御者在漏洞被滥用之前发现并修复严重缺陷。”
🔧 紧急行动建议
目前没有可靠的临时缓解措施或配置变更可以阻断该漏洞。
唯一解决方案：
- ✅ 立即更新内核到已修复版本
- ✅ 执行完整重启以确保补丁生效
- ✅ 优先处理面向互联网和多租户环境的系统
相关修复补丁已于 2026 年 7 月 16 日合并进 Linux 主线代码树，各企业发行版正在进行回移植。
2026：Linux提权漏洞的爆发之年
RefluXFS 并非孤例。2026 年以来，安全研究人员已经连续披露了多个重量级 Linux 本地提权漏洞：
这一趋势表明：攻击者正在从内存破坏转向文件系统和磁盘块层面的攻击，传统安全防御体系亟需升级。
资讯来源：Qualys 安全公告《RefluXFS: A Linux Kernel Local Privilege Escalation to Root in XFS (CVE-2026-64600)》、OpenWall oss-security 邮件列表、SecurityOnline、CyberPress 等。
更多安全技术讨论，欢迎访问 云栈社区。
发表于 4 小时前
|
查看: 3|
回复: 0
