RefluXFS漏洞正在影响你的Linux服务器

2026年7月22日，Qualys威胁研究单元（TRU）正式披露了一个编号为 CVE-2026-64600的Linux内核高危漏洞，代号“RefluXFS” 。

这个漏洞有多严重？ 一个没有任何特权的普通本地用户，只需要几秒钟，就能直接获得主机的root权限——而且整个过程不留下任何内核日志，重启后依然生效。

紧急优先级（Emergency Priority） ——Qualys官方将此次漏洞列为最高紧急级别。

漏洞核心：一个潜伏了9年的竞态条件

RefluXFS的根源在于Linux内核XFS文件系统的写时复制（Copy-on-Write）路径中存在一个竞态条件。

这个漏洞最早可以追溯到2017年2月发布的Linux内核4.11版本，由提交 `3c68d44a2b49` 引入。此后每一个主线内核和稳定版内核都携带这个漏洞，直到2026年7月16日修复补丁被合并进内核源码树。

攻击原理并不复杂：

1. 攻击者通过 reflink（文件克隆）将目标文件（如 `/etc/passwd` 或一个SUID-root二进制文件）克隆到一个自己可控的临时文件中。

2. 然后对克隆文件发起两个并发的O_DIRECT写入进行竞争。

3. 内核在等待事务日志空间时会短暂释放inode锁——就是这短短一瞬间，一个过期的块地址绕过了引用计数检查。

4. 结果：本该写入克隆文件的数据，直接落到了原始文件所在的物理磁盘块上。

关键点：O_DIRECT绕过页缓存、跳过重新验证，写入直接落盘。目标文件的inode完全不变——一个被篡改的SUID-root二进制文件依然保留着SUID位。

影响范围：1640万台系统面临风险

根据Qualys基于其网络安全管理平台的分析，全球约有1640万台系统可能受此漏洞影响。

受影响需同时满足三个条件：

✅ 内核版本 v4.11或更高（2017年至今）

✅ XFS文件系统启用reflink（自2019年起已是mkfs.xfs默认选项）

✅ 存在普通用户可写的目录 + root拥有的高价值目标文件

已确认受影响的主流发行版：

- RHEL 8/9/10、CentOS Stream 8/9/10

- Oracle Linux 8/9/10、Rocky/AlmaLinux 8/9/10

- Amazon Linux 2023 & AL2

- Fedora Server 31+

Debian、Ubuntu、SUSE默认不将XFS作为根文件系统，仅在管理员手动选择启用reflink的XFS时才暴露风险。

为什么常规加固措施全部失效？

这是RefluXFS最令人担忧的地方——它从设计层面绕过了几乎所有主流安全防御机制：

- KASLR、SMEP、SMAP：这些内存保护机制针对的是内存破坏攻击，而RefluXFS工作在**文件系统分配层**

- SELinux Enforcing模式：在测试中**未能阻断受影响路径

- 内核锁定（Kernel Lockdown）：对O_DIRECT和FICLONE调用没有限制

- 容器隔离、seccomp、用户命名空间：均无法触及这一攻击层面

值得关注：AI辅助发现的新范式

这是Qualys与Anthropic联合研究项目的成果，研究人员将Claude Mythos Preview模型整合进人工审计流程，要求模型在Linux内核中寻找类似Dirty COW的竞态条件漏洞。

经过多轮迭代优化提示词后，模型成功定位了XFS中的这个竞态条件，并生成了一个可用的提权概念验证（PoC） 。随后Qualys安全工程师独立复现并验证了所有技术细节。

Qualys威胁研究部负责人Saeed Abbasi对此表示：“RefluXFS的意义不在于AI能做什么，而在于如何负责任地使用它。AI与专家判断相结合，能帮助防御者在漏洞被滥用之前发现并修复严重缺陷。 ”

紧急行动建议

目前没有可靠的临时缓解措施或配置变更可以阻断该漏洞。

唯一解决方案：

✅ 立即更新内核到已修复版本

✅ 执行完整重启以确保补丁生效

✅ 优先处理面向互联网和多租户环境的系统

相关修复补丁已于2026年7月16日合并进Linux主线代码树，各企业发行版正在进行回移植。

2026：Linux提权漏洞的爆发之年

RefluXFS并非孤例。2026年以来，安全研究人员已经连续披露了多个重量级Linux本地提权漏洞：

这一趋势表明：攻击者正在从内存破坏转向文件系统和磁盘块层面的攻击，传统安全防御体系亟需升级。

资讯来源：Qualys安全公告《RefluXFS: A Linux Kernel Local Privilege Escalation to Root in XFS (CVE-2026-64600)》、OpenWall oss-security邮件列表、SecurityOnline、CyberPress等。