Компания Qualys выявила уязвимость (CVE-2026-64600) в поставляемой в ядре Linux файловой системе XFS, позволяющую локальному пользователю получить привилегии root. Уязвимость получила кодовое имя RefluXFS и была выявлена в ходе эксперимента с использованием AI-модели Claude Mythos Preview. Проблема была найдена в ответ на запрос найти в ядре Linux уязвимость типа Dirty COW, вызванную состоянием гонки в коде файловых систем. AI-модель выявила подобную уязвимость в коде XFS и подготовила прототип эксплоита, который позволил получить root-доступ в Fedora Server 44.

Уязвимость даёт возможность перезаписать содержимое любого файла в файловой системе XFS, созданной с поддержкой reflink (в mkfs.xfs выставляется по умолчанию с 2019 года и бэкпортирован в RHEL 8), при наличии доступа к этому файлу на чтение. Операция reflink позволяет создавать копии файлов путём клонирования метаданных файла и создания ссылки на уже имеющиеся данные без их фактического копирования (данные разделяются только после внесения изменений с использованием механизма copy-on-write).

Атака сводится к созданию при помощи reflink принадлежащего пользователю клона файла, такого как /etc/passwd или /usr/bin/su, и инициированию возникновения состояния гонки через отправку одновременных запросов к клону в режиме O_DIRECT. Из-за некорректно выставляемой блокировки при выполнении операции copy-on-write, возникает короткое временное окно, на протяжении которого блок будет скопирован, но счётчик ссылок ещё не обновлён, что приведёт к записи в физический блок, закреплённый за исходным файлом. Изменение сохраняется напрямую в физических блоках на диске без изменения состояния inode (SUID-бит не сбрасывается) и не отражаясь в страничном кэше (чтобы изменения стали видны в системе, можно использовать вызов "posix_fadvise(POSIX_FADV_DONTNEED)").

Эксплуатация возможна в конфигурации по умолчанию при наличии в ФС XFS каталога, в который атакующий может записываться файлы, и доступности на чтение suid-файлов, а также файлов с системными настройками или скриптами. Наличие уязвимости и необходимых для атаки настроек подтверждено в RHEL 8-10 (+ CentOS, Rocky, AlmaLinux, Oracle Linux, CloudLinux 8-10), Fedora Server 31+, Amazon Linux 2023 и Amazon Linux 2 AMI. В Debian, Ubuntu, Fedora Workstation, SLES, openSUSE и Arch Linux файловая системе XFS по умолчанию не применяется в корневом разделе и подверженность проблеме зависит от выбора XFS при установке. Ветка RHEL 7 проблеме не подвержена, а ветка RHEL 8 уязвима только при установке с нуля (при обновлении с RHEL 7 reflink не включается).

Проблема проявляется начиная с выпуска 4.11 (февраль 2017 года) и устранена в ядре Linux 14 июня. Исправление включено в состав корректирующих выпусков ядра 7.1.4, 6.18.39 и 6.12.96. Статус устранения уязвимости в дистрибутивах можно оценить на данных страницах: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora.

Помимо этого за последние дни выявлено ещё несколько уязвимостей, позволяющих поднять свои привилегии в системе:

• В инструментарии snapd 2.76.1 устранены 3 уязвимости:
  • CVE-2026-8933 - уязвимость в утилите snap-confine, формирующей sandbox-окружение для выполнения snap-приложения, позволяет получить привилегии root в системе. Уязвимость напоминает мартовскую проблему и также вызвана состояниями гонки, но на этот раз возникающими при запуске в режиме "set-capabilities". Первое состояние гонки возникает после создания директории "/tmp/snap.rootfs_XXXXXX", но до изменения её владельца, а второе - в промежуток между созданием файла и сменой владельца на root. В подобный момент атакующий может создать символическую ссылку внутри каталога "/tmp/snap.rootfs_XXXXXX" и добиться создания произвольного файла в разрешённых системных каталогах, после чего воспользоваться вторым состоянием гонки и успеть выставить права доступа "0666" (запись для всех пользователей) на созданный файл до смены владельца.

    Подобным образом создаётся файла с расширением .rules в каталоге /run/udev/rules.d/, после чего в него добавляется правило, запускающее с правами root команду атакующего при монтировании или отмонтировании FUSE-раздела. Проблема проявляется в Ubuntu 22.04 LTS, Ubuntu 24.04 LTS и Ubuntu 26.04 LTS с настройками по умолчанию. Выявившие проблему исследователи продемонстрировали рабочий эксплот.

  • CVE-2026-15226 - уязвимость в snap-confine, позволяющая локальному атакующему обойти ограничения sandbox-окружения.
  • CVE-2024-5300 - позволяет из sandbox-окружения получить доступ к хэшам паролей на системах с systemd-userdbd через отправку запроса при помощи интерфейса varlink.
• В почтовом сервере Exim 4.99.5 устранена уязвимость (CVE не присвоен), позволяющая локальному пользователю повысить свои привилегии через манипуляции с файлом ".forward" в конфигурациях, поддерживающих настройку перенаправления через файл ".forward" и использующих команду "force_command" для транспорта "pipe", запускаемого под привилегированным пользователем. Эксплуатация осуществляется через использование аргументов командной строки, предназначенных для перемещения писем по имени в очереди, для доступа к файлам за пределами спула. Проблема проявляется начиная с версии Exim 4.82 (2013 год).