RefluXFS Nächste Linux-Lücke ermöglicht Root-Rechte

Anbieter zum Thema

Widas ID GmbH

FAST LTA GmbH

Onapsis Europe GmbH

Die Sicherheitslücke „RefluXFS“ ermöglicht es Angreifern, sich spurlos Root-Rechte unter Linux zu verschaffen, ganz ohne Kernel-Log-Einträge. Millionen Systeme sind potenziell betroffen, sofortiges Patchen ist erforderlich.

Eine neun Jahre alte Schwachstelle im XFS-Dateisystem des Linux-Kernels wurde endlich gefunden und behoben. Sie wird unter der Kennung EUVD-2026-47879 / CVE-2026-64600 (CVSS-Score 7.8, EPSS-Score* 0.72) geführt und ermöglicht es lokalen Angreifern, geschützte Dateien zu überschreiben und Root-Rechte zu erlangen.

Local privilege escalation bis zu Root-Rechten

„Copy Fail“-Sicherheitslücke im Linux-Kernel wird in Angriffen ausgenutzt

Schutzmechanismen versagen

Die Qualys Threat Research Unit (TRU) hat die Race-Condition-Schwachstelle entdeckt, gemeldet und ihr den Namen „RefluXFS“ gegeben. Sie betrifft Systeme, die ein XFS-Dateisystem mit aktivierter Reflink-Funktion nutzen, eine Standardkonfiguration bei großen Enterprise-Linux-Distributionen, und auf denen der Linux-Kernel ab Version 4.11 läuft. Zudem ist ein Verzeichnis erforderlich, in das ein nicht privilegierter lokaler Benutzer schreiben kann.

Wie Qualys warnt, können gängige Schutzmechanismen wie das Kernel-Sicherheitsmodul Security-Enhanced Linux, Kernel-Lockdown, Container-Isolierung sowie Speicher­schutz­funktionen wie KASLR, SMEP und SMAP RefluXFS-Angriffe nicht verhindern. Dies liegt daran, dass die Sicherheitslücke auf der Ebene der Dateisystem-Allokation ausgenutzt wird, die unterhalb der Schicht ist, auf der die Schutzmaßnahmen greifen.

Laut Qualys ist der Exploit äußerst effektiv, hinterlässt keine Einträge im Kernel-Log, und die auf dem Datenträger vorgenommene Änderung bleibt auch nach einem Systemneustart erhalten.

„Der Angreifer erstellt per Reflink-Klon eine Kopie der Zieldatei (zum Beispiel /etc/passwd oder eine SUID-Root-Binärdatei wie /usr/bin/su) in einer eigenen Arbeitsdatei und führt dann konkurrierende O_DIRECT-Schreibvorgänge auf dieser Arbeitsdatei aus“, erklärt die TRU in ihrem technischen Bericht. „Durch ein Zeitfenster, in dem die Sperre im Copy-on-Write-Allokationspfad des Kernels kurzzeitig aufgehoben ist, landet einer dieser Schreibvorgänge nicht im Speicherbereich des Angreifers, sondern in jenem physischen Block, der weiterhin der Originaldatei zugeordnet ist. Die Änderung erfolgt direkt auf dem Datenträger, überdauert einen Neustart, erzeugt keinen Eintrag im Kernel-Log und berührt nicht den Inode der Zieldatei – wodurch eine modifizierte SUID-Root-Binärdatei ihr SUID-Bit behält.“

3 Updates seit Oktober 2025

BSI stuft Linux-Schwachstelle als kritisch ein

Schwachstelle existiert seit neun Jahren

RefluXFS existiert seit Kernel-Version 4.11 und wurde im Februar 2017 durch fehlerhaften Code in den Commit 3c68d44a2b49 eingeführt. Die Schwachstelle ist seitdem in allen Mainline- und Stable-Kernel-Versionen vorhanden. Am 16. Juli 2026 behoben, nachdem der Commit 2f4acd0 in den Quellcode-Baum des Linux-Kernels integriert worden war.

Zu den betroffenen Linux-Distributionen gehören Red Hat Enterprise Linux, Oracle Linux, Amazon Linux und Fedora sowie CentOS Stream, Rocky Linux, AlmaLinux und CloudLinux. Qualys schätzt auf der Grundlage von Analysen mit seiner Software für das Cybersecurity-Asset-Management, dass potenziell mehr als 16,4 Millionen Systeme betroffen sind.

EUVD-2026-24742 / CVE-2026-41651

Telekom entdeckt 12 Jahre alte Linux-Root-Schwachstelle

Mithilfe von Claude Mythos entdeckt

Saeed Abbasi, Leiter der Threat-Research-Abteilung von Qualys, erklärt, dass die Entdeckung das Ergebnis einer Forschungsinitiative von Qualys und Anthropic war, bei der Forscher das KI-Modell Claude Mythos Preview in ihren manuellen Audit-Workflow integrierten.

Die Aufgabe von Mythos Preview bestand darin, nach einer Race Condition zu suchen, die der Schwachstellenklasse „Dirty COW“ ähnelt. Nach einigen Anpassungen identifizierte das Modell die Schwachstelle im XFS-Dateisystem und erstellte einen funktionsfähigen Proof of Concept. Die Schlussfolgerungen des Modells wurden danach überprüft, der Exploit reproduzier und alle technischen Angaben unabhängig verifiziert. Erst dann koordinierten die Unternehmen die Offenlegung der Schwachstelle mit den Kernel-Maintainern.

„Vom Hersteller korrigierte Kernel-Versionen sind inzwischen verfügbar und werden in Enterprise-Distributionen zurückportiert. Unternehmen sollten das Patchen exponierter Systeme sowie von Systemen mit Multi-Tenant-Architektur priorisieren und sicherstellen, dass ein Neustart durchgeführt wird, um das Update zu verifizieren. Derzeit gibt es keine zuverlässigen oder praktikablen Abhilfemaßnahmen oder vorübergehenden Konfigurationsänderungen“, erklärt Abbasi.

RefluXFS reiht sich ein in eine Vielzahl von Schwachstellen, die in den vergangenen Monaten unter Linux eine Privilegienerweiterung ermöglichten, darunter CIFSwitch, PinTheft, Copy Fail, Dirty Frag, Fragnesia, Pack2TheRoot sowie DirtyDecrypt/DirtyCBC.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

Use-after-free in Linux-Kernel nf_tables gibt Root-Zugrif

Öffentlicher Exploit für Linux-Kernel-Lücke CVE-2026-23111

(ID:50908697)