Linux Sicherheitslücke
RefluXFS: Kritische Linux-Kernel-Lücke verschafft lokalen Nutzern Root-Rechte
CVE-2026-64600 betrifft XFS-Systeme seit Kernel 4.11
Ein gewöhnliches Benutzerkonto genügt, um die Kontrolle über einen verwundbaren Linux-Server zu übernehmen. Die als „RefluXFS“ bezeichnete Schwachstelle CVE-2026-64600 erlaubt es lokalen Angreifern, geschützte Systemdateien zu manipulieren und sich dauerhaft Root-Rechte zu verschaffen. Da klassische Härtungsmaßnahmen den Angriff nicht zuverlässig stoppen, bleiben nur ein Kernel-Update und der anschließende Neustart.
Die Qualys Threat Research Unit (TRU) hat technische Details zu einer kritischen Race Condition im XFS-Dateisystem des Linux-Kernels veröffentlicht. Betroffen sind potenziell Millionen Systeme – darunter zahlreiche Server in Unternehmen, Behörden und KRITIS-Umgebungen.
Gerade im DACH-Raum könnte die Tragweite erheblich sein. Linux und darauf basierende Enterprise-Distributionen sind in Rechenzentren, Cloud-Umgebungen und kritischen Infrastrukturen weit verbreitet. Viele davon verwenden das XFS-Dateisystem in der Standardkonfiguration.
Race Condition im Copy-on-Write-Pfad
Die unter CVE-2026-64600 geführte Schwachstelle befindet sich im Copy-on-Write-Pfad des XFS-Dateisystems. Qualys bezeichnet die Lücke als „RefluXFS“.
Ein Angreifer benötigt weder administrative Berechtigungen noch besondere Linux-Capabilities. Ein gewöhnlicher lokaler Benutzerzugang reicht aus, um geschützte Dateien auf dem Datenträger zu überschreiben und anschließend Root-Rechte auf dem betroffenen Host zu erlangen.
Der von Qualys entwickelte Proof of Concept manipuliert dazu unter anderem die Datei /etc/passwd oder ausführbare Dateien mit gesetztem SUID-Root-Bit. Auf diese Weise kann der Angreifer seine Berechtigungen dauerhaft ausweiten.
Besonders kritisch: Der Angriff funktioniert nach Angaben der Sicherheitsforscher auch dann, wenn SELinux im Enforcing-Modus betrieben wird.
Seit Linux-Kernel 4.11 verwundbar
Die fehlerhafte Implementierung existiert bereits seit Linux-Kernel 4.11, der im Jahr 2017 veröffentlicht wurde. Sie ist sowohl in Mainline- als auch in zahlreichen Stable-Kernel-Versionen enthalten.
Für eine erfolgreiche Ausnutzung ist keine ungewöhnliche Systemkonfiguration erforderlich. Voraussetzung ist lediglich, dass das Root-Dateisystem XFS verwendet und die Reflink-Funktion aktiviert ist.
Auf Basis einer Auswertung mit Qualys CyberSecurity Asset Management geht das Unternehmen davon aus, dass weltweit potenziell mehr als 16,4 Millionen Systeme betroffen sein könnten.
Zu den gefährdeten Distributionen zählen insbesondere:
- Red Hat Enterprise Linux 8, 9 und 10
- CentOS Stream 8, 9 und 10
- Oracle Linux 8, 9 und 10
- Rocky Linux 8, 9 und 10
- AlmaLinux 8, 9 und 10
- CloudLinux 8, 9 und 10
- Fedora Server ab Version 31
- Amazon Linux 2023
- Amazon-Linux-2-AMIs ab Dezember 2022
Debian, Ubuntu und SUSE verwenden XFS zwar in der Regel nicht als Standarddateisystem. Die Systeme sind jedoch ebenfalls verwundbar, wenn XFS bei der Installation manuell ausgewählt und mit aktivierter Reflink-Funktion betrieben wurde.
Warum Qualys vor einem Sicherheitsnotfall warnt
Qualys stuft RefluXFS als besonders gefährlich ein, weil sich die Schwachstelle zuverlässig ausnutzen lässt und dabei kaum verwertbare Spuren hinterlässt.
Nach Angaben der Forscher erzeugt der Angriff keine entsprechenden Einträge in den Kernel-Logs. Die vorgenommenen Änderungen erfolgen direkt auf dem Datenträger und bleiben auch nach einem Neustart bestehen.
Damit eignet sich die Schwachstelle nicht nur zur kurzfristigen Rechteausweitung. Angreifer können Zugangsdaten verändern, Hintertüren einrichten und einen dauerhaft privilegierten Zugriff auf das System vorbereiten.
Auf bereits kompromittierten Servern eröffnet RefluXFS zudem Möglichkeiten für laterale Bewegungen innerhalb des Unternehmensnetzwerks.
Klassische Linux-Härtung greift nicht
Mehrere etablierte Sicherheitsmechanismen verhindern die Ausnutzung nicht. Schutzmaßnahmen wie Kernel Address Space Layout Randomization (KASLR), Supervisor Mode Execution Prevention (SMEP) und Supervisor Mode Access Prevention (SMAP) adressieren andere Angriffstechniken.
Auch der Kernel-Lockdown-Modus bietet keinen ausreichenden Schutz, da er die für den Angriff relevanten Funktionen O_DIRECT und FICLONE nicht grundsätzlich blockiert.
In den Qualys-Tests konnte auch SELinux den betroffenen Zugriffspfad nicht verhindern. Übliche seccomp-Profile lassen zudem die benötigten Systemaufrufe write und ioctl weiterhin zu.
Ebenso wenig helfen Container-Isolation, eingeschränkte Linux-Capabilities oder User-Namespaces zuverlässig weiter. Die Race Condition befindet sich auf Ebene der Dateisystem-Allokation und damit unterhalb vieler dieser Schutzschichten.
Nur Update und Neustart beseitigen das Risiko
Nach Einschätzung von Qualys existieren derzeit keine zuverlässigen und gleichzeitig praktikablen Workarounds. Temporäre Konfigurationsänderungen reichen nicht aus, um das Risiko sicher zu beseitigen.
Administratoren sollten deshalb zeitnah einen korrigierten Kernel der jeweiligen Linux-Distribution installieren und das System anschließend vollständig neu starten. Erst durch den Neustart wird sichergestellt, dass der verwundbare Kernel nicht mehr aktiv ist.
Die Hersteller stellen bereits aktualisierte Kernel bereit oder integrieren die Korrektur per Backport in ihre Enterprise-Distributionen.
Qualys empfiehlt, zunächst besonders exponierte Systeme zu aktualisieren. Dazu gehören öffentlich erreichbare Server, gemeinsam genutzte Plattformen, Hosting-Umgebungen und mandantenfähige Systeme, auf denen nicht vollständig vertrauenswürdige Nutzer lokale Prozesse ausführen können.
KI half bei der Suche nach einer Dirty-COW-ähnlichen Lücke
Entdeckt wurde RefluXFS im Rahmen einer gemeinsamen Forschungsinitiative von Qualys und Anthropic. Dabei wurde das KI-Modell Claude Mythos Preview unter strikter menschlicher Aufsicht in einen manuellen Audit-Prozess eingebunden.
Die Forscher beauftragten das Modell gezielt damit, im Linux-Kernel nach einer Race Condition nach dem Vorbild der bekannten Dirty-COW-Schwachstelle zu suchen.
Das Modell identifizierte daraufhin den problematischen Codepfad im XFS-Dateisystem und erstellte einen funktionsfähigen Proof of Concept.
Anschließend überprüften die Qualys-Forscher die Herleitung manuell, reproduzierten den Exploit und validierten jede technische Aussage unabhängig. Erst danach wurde die Offenlegung mit den zuständigen Upstream-Maintainern und Linux-Distributoren koordiniert.
Der Fund zeigt damit nicht nur die weiterhin hohe Relevanz lokaler Kernel-Schwachstellen. Er verdeutlicht auch, wie KI-gestützte Codeanalyse unter fachlicher Kontrolle die Suche nach komplexen Fehlern in sicherheitskritischen Softwarekomponenten beschleunigen kann.
