RefluXFS CVE-2026-64600：XFS漏洞导致提权至root权限，影响1640万台系统

sec随谈
sec随谈

sec随谈

2026年7月23日 09:17
北京

在小说阅读器读本章

去阅读

摘要

Qualys于2026年7月22日披露了名为RefluXFS的漏洞，编号为CVE-2026-64600，这是一个Linux内核XFS文件系统的提权漏洞，可使攻击者获得root权限。Qualys估计该漏洞可能影响全球超过1640万台系统。

为何重要

XFS是Red Hat Enterprise Linux及其众多衍生系统的默认根文件系统，因此一个本地漏洞就能触及庞大的安装基数。Qualys将该问题列为紧急优先级。

其影响范围十分广泛，受影响平台包括RHEL、Oracle Linux、Amazon Linux和Fedora Server。任何普通本地用户都可以触发这一XFS提权至root的漏洞。

常规加固措施无效

常见的防护手段无法拦截该漏洞。恶意写入发生在文件系统分配层，处于KASLR、SMEP和SMAP等内存保护机制之下。据Qualys披露，在测试中SELinux未能阻断受影响的路径，容器限制手段同样力不从心。

攻击原理

该漏洞源于XFS写时复制（copy-on-write）路径中的一个竞态条件。无特权用户可以通过reflink将受保护文件（例如/etc/passwd或某个拥有SUID权限的root二进制文件）克隆到一个临时文件中。

随后，攻击者对该克隆文件发起两次direct I/O写入竞争。内核在等待日志空间时会释放inode锁，就在这一窗口期内，一个过期的块地址绕过了引用计数检查。

结果是，其中一次写入直接落在了原始文件的物理数据块上。这一改动直接写入磁盘，重启后依然存在，不会产生任何内核日志，且目标文件的inode保持不变——这意味着一个SUID二进制文件仍会保留其SUID位。

受影响版本

Qualys将该漏洞追溯至2017年发布的4.11内核版本。此后所有主线和稳定版内核均受此影响。只有当你的XFS文件系统启用了reflink功能时才会暴露风险，而reflink自2019年起已成为mkfs.xfs的默认选项。

Debian、Ubuntu和SUSE默认不使用XFS，只有管理员在安装时主动选择了带reflink的XFS，才会暴露于该风险之中。

利用现状

目前尚未发现该漏洞的在野利用案例。已存在可用的概念验证（PoC），但Qualys并未公开发布相关利用代码，其安全公告中包含了一段PoC演示视频。

补丁与应对措施

请立即修补内核并重启以使补丁生效。相关修复已于2026年7月16日合并进Linux主线代码树，各发行版正在进行回移植（backport）。Qualys指出目前没有可靠的临时缓解措施，因此更新内核是唯一真正有效的解决办法。

参考链接：

https://blog.qualys.com/vulnerabilities-threat-research/2026/07/22/refluxfs-a-linux-kernel-local-privilege-escalation-to-root-in-xfs-cve-2026-64600