文章总结： Qualys披露Linux内核高危漏洞RefluXFS，普通用户可利用XFS文件系统竞态条件在数秒内无日志获取root权限且重启生效。该漏洞潜伏9年，影响约1640万台系统，能绕过SELinux及容器隔离等防御。此漏洞由AI辅助发现，目前无缓解措施，唯一建议是立即更新内核并完整重启。 综合评分： 91 文章分类： 漏洞预警,漏洞分析,漏洞POC,AI安全

比Dirty COW更致命？Linux内核9年漏洞曝光：普通用户10秒夺取root权限

看雪学苑 看雪学苑

看雪学苑

2026年7月23日 17:59 上海

在小说阅读器读本章

去阅读

RefluXFS漏洞正在影响你的Linux服务器

2026年7月22日，Qualys威胁研究单元（TRU）正式披露了一个编号为 CVE-2026-64600的Linux内核高危漏洞，代号“RefluXFS” 。

这个漏洞有多严重？ 一个没有任何特权的普通本地用户，只需要几秒钟，就能直接获得主机的root权限——而且整个过程不留下任何内核日志，重启后依然生效。

紧急优先级（Emergency Priority） ——Qualys官方将此次漏洞列为最高紧急级别。

漏洞核心：一个潜伏了9年的竞态条件

RefluXFS的根源在于Linux内核XFS文件系统的写时复制（Copy-on-Write）路径中存在一个竞态条件。

这个漏洞最早可以追溯到2017年2月发布的Linux内核4.11版本，由提交 3c68d44a2b49 引入。此后每一个主线内核和稳定版内核都携带这个漏洞，直到2026年7月16日修复补丁被合并进内核源码树。

攻击原理并不复杂：

1. 攻击者通过 reflink（文件克隆）将目标文件（如 /etc/passwd 或一个SUID-root二进制文件）克隆到一个自己可控的临时文件中。

2. 然后对克隆文件发起两个并发的O_DIRECT写入进行竞争。

3. 内核在等待事务日志空间时会短暂释放inode锁——就是这短短一瞬间，一个过期的块地址绕过了引用计数检查。

4. 结果：本该写入克隆文件的数据，直接落到了原始文件所在的物理磁盘块上。

关键点：O_DIRECT绕过页缓存、跳过重新验证，写入直接落盘。目标文件的inode完全不变——一个被篡改的SUID-root二进制文件依然保留着SUID位。

影响范围：1640万台系统面临风险

根据Qualys基于其网络安全管理平台的分析，全球约有1640万台系统可能受此漏洞影响。

受影响需同时满足三个条件：

✅ 内核版本 v4.11或更高（2017年至今）

✅ XFS文件系统启用reflink（自2019年起已是mkfs.xfs默认选项）

 ✅ 存在普通用户可写的目录 + root拥有的高价值目标文件

已确认受影响的主流发行版：

• RHEL 8/9/10、CentOS Stream 8/9/10

• Oracle Linux 8/9/10、Rocky/AlmaLinux 8/9/10

• Amazon Linux 2023 & AL2

• Fedora Server 31+

Debian、Ubuntu、SUSE默认不将XFS作为根文件系统，仅在管理员手动选择启用reflink的XFS时才暴露风险**。

为什么常规加固措施全部失效？

这是RefluXFS最令人担忧的地方——它从设计层面绕过了几乎所有主流安全防御机制：

• KASLR、SMEP、SMAP：这些内存保护机制针对的是内存破坏攻击，而RefluXFS工作在**文件系统分配层**

• SELinux Enforcing模式：在测试中**未能阻断受影响路径

• 内核锁定（Kernel Lockdown）：对O_DIRECT和FICLONE调用没有限制

• 容器隔离、seccomp、用户命名空间：均无法触及这一攻击层面

值得关注：AI辅助发现的新范式

这是Qualys与Anthropic联合研究项目的成果，研究人员将Claude Mythos Preview模型整合进人工审计流程，要求模型在Linux内核中寻找类似Dirty COW的竞态条件漏洞。

经过多轮迭代优化提示词后，模型成功定位了XFS中的这个竞态条件，并生成了一个可用的提权概念验证（PoC） 。随后Qualys安全工程师独立复现并验证了所有技术细节。

Qualys威胁研究部负责人Saeed Abbasi对此表示：“RefluXFS的意义不在于AI能做什么，而在于如何负责任地使用它。AI与专家判断相结合，能帮助防御者在漏洞被滥用之前发现并修复严重缺陷。 ”

🔧 紧急行动建议

目前没有可靠的临时缓解措施或配置变更可以阻断该漏洞。

唯一解决方案：

✅ 立即更新内核到已修复版本

✅ 执行完整重启以确保补丁生效

✅ 优先处理面向互联网和多租户环境的系统

相关修复补丁已于2026年7月16日合并进Linux主线代码树，各企业发行版正在进行回移植。

2026：Linux提权漏洞的爆发之年

RefluXFS并非孤例。2026年以来，安全研究人员已经连续披露了多个重量级Linux本地提权漏洞：

这一趋势表明：攻击者正在从内存破坏转向文件系统和磁盘块层面的攻击，传统安全防御体系亟需升级。

资讯来源：Qualys安全公告《RefluXFS: A Linux Kernel Local Privilege Escalation to Root in XFS (CVE-2026-64600)》、OpenWall oss-security邮件列表、SecurityOnline、CyberPress等。

球分享

球点赞

球在看

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：看雪学苑 看雪学苑 看雪学苑《比Dirty COW更致命？Linux内核9年漏洞曝光：普通用户10秒夺取root权限》