Da in Unternehmen, Behörden und KRITIS-Umgebungen im DACH-Raum Linux und davon abgeleitete Distributionen in großem Umfang im Einsatz haben – vielfach in Standardkonfiguration mit XFS-Dateisystem –, betrifft die Linux-Kernel-Schwachstelle „RefluXFS“ (CVE-2026-64600) einen erheblichen Teil der hiesigen Linux-Serverlandschaft unmittelbar. Qualys Threat Research Unit (TRU) veröffentlicht Details – Patchen und Neustart sind die einzigen verlässliche Gegenmaßnahmen.
Linux-Kernel-Schwachstelle „RefluXFS“
Die Qualys Threat Research Unit (TRU) hat CVE-2026-64600 identifiziert, eine Race-Condition im Copy-on-Write-Pfad des XFS-Dateisystems im Linux-Kernel. Ein Angreifer mit einem gewöhnlichen lokalen Benutzerkonto kann darüber geschützte Dateien auf der Festplatte überschreiben und Root-Rechte auf dem Host erlangen – auch auf Systemen, die SELinux im Enforcing-Modus betreiben. Der Proof-of-Concept von Qualys erreicht dies durch gezielte Änderungen an /etc/passwd oder an SUID-Root-Binaries.
Reichweite und betroffene Systeme
Die Schwachstelle existiert seit Kernel-Version 4.11 (2017) in jedem Mainline- und Stable-Kernel und erfordert weder besondere Berechtigungen noch eine vom Standard abweichende Konfiguration. Auf Basis einer Auswertung mit Qualys-Cybersecurity-Asset-Management sind potenziell mehr als 16,4 Millionen Systeme weltweit betroffen. Verwundbar ist jede Distribution mit XFS-Root-Dateisystem und aktiviertem Reflink, darunter:
- RHEL 8, 9 und 10; CentOS Stream 8, 9 und 10; Oracle Linux 8, 9 und 10,
- Rocky Linux und AlmaLinux 8, 9, 10; CloudLinux 8, 9 und 10; Fedora Server 31+,
- Amazon Linux 2023 sowie Amazon-Linux-2-AMIs ab Dezember 2022,
- Debian, Ubuntu und SUSE nutzen XFS nicht standardmäßig, sind jedoch betroffen, wenn XFS bei der Installation manuell gewählt wurde und reflink=1 gesetzt ist.
Warum Qualys die Linux-Schwachstelle „RefluXFS“
als Notfall einstuft
- Die Ausnutzung gelingt zuverlässig und erzeugt keine Einträge in den Kernel-Logs.
- Die auf der Festplatte vorgenommenen Änderungen überdauern einen Neustart.
- Gängige Härtungsmaßnahmen greifen nicht: KASLR, SMEP und SMAP zielen auf andere Angriffsflächen, Kernel Lockdown schränkt O_DIRECT und FICLONE nicht ein, SELinux blockierte den betroffenen Pfad im Test nicht, und übliche seccomp-Profile erlauben write und ioctl. Auch Container-Isolation, Capability-Beschränkungen und User-Namespaces wirken nicht, da die Lücke auf Ebene der Dateisystem-Allokation unterhalb dieser Schutzschichten liegt.
- Die Schwachstelle ist zwar rein lokal, ermöglicht auf einem kompromittierten Host jedoch Persistenz, die Manipulation von Zugangsdaten und laterale Bewegung im Netzwerk.
Empfohlene Maßnahme
Es gibt derzeit keine verlässlichen oder praktikablen Mitigationen oder temporären Konfigurationsänderungen. Erforderlich sind ein sofortiges Kernel-Update und ein vollständiger Neustart zur Verifizierung. Korrigierte Kernel der Hersteller stehen bereit und werden in die Enterprise-Distributionen zurückportiert. Qualys empfiehlt, exponierte und mandantenfähige Systeme vorrangig zu patchen.
Hintergrund: Wie die Schwachstelle gefunden wurde
Der Fund entstand im Rahmen einer strukturierten Forschungsinitiative von Qualys und Anthropic, bei der Claude-Mythos-Preview unter strikter menschlicher Aufsicht in den manuellen Audit-Workflow eingebunden wurde. Das Modell wurde gezielt auf die Suche nach einer Race-Condition nach Art von Dirty-COW angesetzt, identifizierte die Schwachstelle im XFS-Dateisystem und erzeugte einen funktionsfähigen Proof-of-Concept. Die Sicherheitsforscher von Qualys prüften anschließend die Herleitung, reproduzierten den Exploit und verifizierten jede technische Aussage unabhängig, bevor die Offenlegung mit den Upstream-Maintainern koordiniert wurde.
#Qualys
