{"id":328196,"date":"2026-08-03T23:00:18","date_gmt":"2026-08-03T21:00:18","guid":{"rendered":"https:\/\/borncity.com\/blog\/?p=328196"},"modified":"2026-08-05T14:54:37","modified_gmt":"2026-08-05T12:54:37","slug":"refluxfs-kritische-linux-kernel-schwachstelle-cve-2026-64600","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2026\/08\/03\/refluxfs-kritische-linux-kernel-schwachstelle-cve-2026-64600\/","title":{"rendered":"RefluXFS: Kritische Linux-Kernel-Schwachstelle (CVE-2026-64600)"},"content":{"rendered":"

Sicherheitsexperten von der Qualys Threat Research Unit (TRU) haben eine kritische Schwachstelle (CVE-2026-64600) im Linux-Kernel entdeckt. Die RefluXFS genannte Schwachstelle erm\u00f6glicht einem Nutzer Root-Berechtigungen zu erlangen.<\/p>\n

<\/p>\n

Da in Unternehmen, Beh\u00f6rden und KRITIS-Umgebungen im DACH-Raum Linux und davon abgeleitete Distributionen in gro\u00dfem Umfang im Einsatz sind \u2013 vielfach in Standardkonfiguration mit XFS-Dateisystem \u2013, betrifft diese Schwachstelle einen erheblichen Teil der hiesigen Linux-Serverlandschaft unmittelbar.<\/p>\n

Worum geht es?<\/h2>\n

Die Qualys Threat Research Unit (TRU) hat CVE-2026-64600<\/a> identifiziert, eine Race Condition im Copy-on-Write-Pfad des XFS-Dateisystems im Linux-Kernel. Ein Angreifer mit einem gew\u00f6hnlichen lokalen Benutzerkonto kann dar\u00fcber gesch\u00fctzte Dateien auf der Festplatte \u00fcberschreiben und Root-Rechte auf dem Host erlangen \u2013 auch auf Systemen, die SELinux im Enforcing-Modus betreiben. Der Proof-of-Concept von Qualys erreicht dies durch gezielte \u00c4nderungen an \/etc\/passwd<\/em> oder an SUID-Root-Binaries.<\/p>\n

Mir ist die Information bereits zum 23. Juli 2026 erstmals zugegangen.\u00a0Die Details sind im Qualsys-Blog-Beitrag\u00a0RefluXFS: A Linux Kernel Local Privilege Escalation to Root in XFS (CVE-2026-64600) <\/a>\u00a0dokumentiert, wobei dieser Artikel letztmalig zum 3. August 2026 aktualisiert wurde.<\/p>\n

Reichweite und betroffene Systeme<\/h2>\n

Die Schwachstelle existiert seit Kernel-Version 4.11 (2017) in jedem Mainline- und Stable-Kernel und erfordert weder besondere Berechtigungen noch eine vom Standard abweichende Konfiguration. Auf Basis einer Auswertung mit Qualys CyberSecurity Asset Management sind potenziell mehr als 16,4 Millionen Systeme weltweit betroffen. Verwundbar ist jede Distribution mit XFS-Root-Dateisystem und aktiviertem Reflink, darunter:<\/p>\n

    \n
  • RHEL 8, 9 und 10; CentOS Stream 8, 9 und 10; Oracle Linux 8, 9 und 10<\/li>\n
  • Rocky Linux und AlmaLinux 8, 9, 10; CloudLinux 8, 9 und 10; Fedora Server 31+<\/li>\n
  • Amazon Linux 2023 sowie Amazon-Linux-2-AMIs ab Dezember 2022<\/li>\n
  • Debian, Ubuntu und SUSE nutzen XFS nicht standardm\u00e4\u00dfig, sind jedoch betroffen, wenn XFS bei der Installation manuell gew\u00e4hlt wurde und reflink=1 gesetzt ist<\/li>\n<\/ul>\n

    Warum Qualys die L\u00fccke als Notfall einstuft<\/h3>\n
      \n
    • Die Ausnutzung gelingt zuverl\u00e4ssig und erzeugt keine Eintr\u00e4ge in den Kernel-Logs.<\/li>\n
    • Die auf der Festplatte vorgenommenen \u00c4nderungen \u00fcberdauern einen Neustart.<\/li>\n
    • G\u00e4ngige H\u00e4rtungsma\u00dfnahmen greifen nicht: KASLR, SMEP und SMAP zielen auf andere Angriffsfl\u00e4chen, Kernel Lockdown schr\u00e4nkt O_DIRECT und FICLONE nicht ein, SELinux blockierte den betroffenen Pfad im Test nicht, und \u00fcbliche seccomp-Profile erlauben write und ioctl. Auch Container-Isolation, Capability-Beschr\u00e4nkungen und User-Namespaces wirken nicht, da die L\u00fccke auf Ebene der Dateisystem-Allokation unterhalb dieser Schutzschichten liegt.<\/li>\n
    • Die Schwachstelle ist zwar rein lokal, erm\u00f6glicht auf einem kompromittierten Host jedoch Persistenz, die Manipulation von Zugangsdaten und laterale Bewegung im Netzwerk.<\/li>\n<\/ul>\n

      Empfohlene Ma\u00dfnahme<\/h3>\n

      Es gibt derzeit keine verl\u00e4sslichen oder praktikablen Mitigationen oder tempor\u00e4ren Konfigurations\u00e4nderungen. Erforderlich sind ein sofortiges Kernel-Update und ein vollst\u00e4ndiger Neustart zur Verifizierung. Korrigierte Kernel der Hersteller stehen bereit und werden in die Enterprise-Distributionen zur\u00fcckportiert. Qualys empfiehlt, exponierte und mandantenf\u00e4hige Systeme vorrangig zu patchen.<\/p>\n

      Hintergrund: Wie die Schwachstelle gefunden wurde<\/h2>\n

      Der Fund entstand im Rahmen einer strukturierten Forschungsinitiative von Qualys und Anthropic, bei der Claude Mythos Preview unter strikter menschlicher Aufsicht in den manuellen Audit-Workflow eingebunden wurde. Das Modell wurde gezielt auf die Suche nach einer Race Condition nach Art von Dirty COW angesetzt, identifizierte die Schwachstelle im XFS-Dateisystem und erzeugte einen funktionsf\u00e4higen Proof-of-Concept. Die Sicherheitsforscher von Qualys pr\u00fcften anschlie\u00dfend die Herleitung, reproduzierten den Exploit und verifizierten jede technische Aussage unabh\u00e4ngig, bevor die Offenlegung mit den Upstream-Maintainern koordiniert wurde.<\/p>\n","protected":false},"excerpt":{"rendered":"

      Sicherheitsexperten von der Qualys Threat Research Unit (TRU) haben eine kritische Schwachstelle (CVE-2026-64600) im Linux-Kernel entdeckt. Die RefluXFS genannte Schwachstelle erm\u00f6glicht einem Nutzer Root-Berechtigungen zu erlangen.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[95,426,185],"tags":[4305,4328],"class_list":["post-328196","post","type-post","status-publish","format-standard","hentry","category-linux","category-sicherheit","category-update","tag-linux","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/328196","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=328196"}],"version-history":[{"count":1,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/328196\/revisions"}],"predecessor-version":[{"id":328199,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/328196\/revisions\/328199"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=328196"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=328196"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=328196"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}