RefluXFS: Kritische Linux-Kernel-Schwachstelle (CVE-2026-64600)

Sicherheitsexperten von der Qualys Threat Research Unit (TRU) haben eine kritische Schwachstelle (CVE-2026-64600) im Linux-Kernel entdeckt. Die RefluXFS genannte Schwachstelle ermöglicht einem Nutzer Root-Berechtigungen zu erlangen.

Da in Unternehmen, Behörden und KRITIS-Umgebungen im DACH-Raum Linux und davon abgeleitete Distributionen in großem Umfang im Einsatz sind – vielfach in Standardkonfiguration mit XFS-Dateisystem –, betrifft diese Schwachstelle einen erheblichen Teil der hiesigen Linux-Serverlandschaft unmittelbar.

Worum geht es?

Die Qualys Threat Research Unit (TRU) hat CVE-2026-64600 identifiziert, eine Race Condition im Copy-on-Write-Pfad des XFS-Dateisystems im Linux-Kernel. Ein Angreifer mit einem gewöhnlichen lokalen Benutzerkonto kann darüber geschützte Dateien auf der Festplatte überschreiben und Root-Rechte auf dem Host erlangen – auch auf Systemen, die SELinux im Enforcing-Modus betreiben. Der Proof-of-Concept von Qualys erreicht dies durch gezielte Änderungen an /etc/passwd oder an SUID-Root-Binaries.

Mir ist die Information bereits zum 23. Juli 2026 erstmals zugegangen. Die Details sind im Qualsys-Blog-Beitrag RefluXFS: A Linux Kernel Local Privilege Escalation to Root in XFS (CVE-2026-64600)  dokumentiert, wobei dieser Artikel letztmalig zum 3. August 2026 aktualisiert wurde.

Reichweite und betroffene Systeme

Die Schwachstelle existiert seit Kernel-Version 4.11 (2017) in jedem Mainline- und Stable-Kernel und erfordert weder besondere Berechtigungen noch eine vom Standard abweichende Konfiguration. Auf Basis einer Auswertung mit Qualys CyberSecurity Asset Management sind potenziell mehr als 16,4 Millionen Systeme weltweit betroffen. Verwundbar ist jede Distribution mit XFS-Root-Dateisystem und aktiviertem Reflink, darunter:

• RHEL 8, 9 und 10; CentOS Stream 8, 9 und 10; Oracle Linux 8, 9 und 10
• Rocky Linux und AlmaLinux 8, 9, 10; CloudLinux 8, 9 und 10; Fedora Server 31+
• Amazon Linux 2023 sowie Amazon-Linux-2-AMIs ab Dezember 2022
• Debian, Ubuntu und SUSE nutzen XFS nicht standardmäßig, sind jedoch betroffen, wenn XFS bei der Installation manuell gewählt wurde und reflink=1 gesetzt ist

Warum Qualys die Lücke als Notfall einstuft

• Die Ausnutzung gelingt zuverlässig und erzeugt keine Einträge in den Kernel-Logs.
• Die auf der Festplatte vorgenommenen Änderungen überdauern einen Neustart.
• Gängige Härtungsmaßnahmen greifen nicht: KASLR, SMEP und SMAP zielen auf andere Angriffsflächen, Kernel Lockdown schränkt O_DIRECT und FICLONE nicht ein, SELinux blockierte den betroffenen Pfad im Test nicht, und übliche seccomp-Profile erlauben write und ioctl. Auch Container-Isolation, Capability-Beschränkungen und User-Namespaces wirken nicht, da die Lücke auf Ebene der Dateisystem-Allokation unterhalb dieser Schutzschichten liegt.
• Die Schwachstelle ist zwar rein lokal, ermöglicht auf einem kompromittierten Host jedoch Persistenz, die Manipulation von Zugangsdaten und laterale Bewegung im Netzwerk.

Empfohlene Maßnahme

Es gibt derzeit keine verlässlichen oder praktikablen Mitigationen oder temporären Konfigurationsänderungen. Erforderlich sind ein sofortiges Kernel-Update und ein vollständiger Neustart zur Verifizierung. Korrigierte Kernel der Hersteller stehen bereit und werden in die Enterprise-Distributionen zurückportiert. Qualys empfiehlt, exponierte und mandantenfähige Systeme vorrangig zu patchen.

Hintergrund: Wie die Schwachstelle gefunden wurde

Der Fund entstand im Rahmen einer strukturierten Forschungsinitiative von Qualys und Anthropic, bei der Claude Mythos Preview unter strikter menschlicher Aufsicht in den manuellen Audit-Workflow eingebunden wurde. Das Modell wurde gezielt auf die Suche nach einer Race Condition nach Art von Dirty COW angesetzt, identifizierte die Schwachstelle im XFS-Dateisystem und erzeugte einen funktionsfähigen Proof-of-Concept. Die Sicherheitsforscher von Qualys prüften anschließend die Herleitung, reproduzierten den Exploit und verifizierten jede technische Aussage unabhängig, bevor die Offenlegung mit den Upstream-Maintainern koordiniert wurde.