Eine neun Jahre alte Lücke im XFS-Dateisystem des Linux-Kernels reicht aus, damit ein gewöhnliches Benutzerkonto zum Administrator aufsteigt. Qualys hat den Fehler RefluXFS getauft und beziffert die Reichweite auf 16,4 Millionen Systeme. Betroffen sind vor allem Server mit Red Hat, Oracle Linux und deren Ablegern.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Die Linux-Kernel-Lücke RefluXFS steckt seit 2017 in nahezu jeder Standardinstallation mit XFS-Dateisystem. Ein Angreifer braucht kein gestohlenes Passwort und keine zweite Schwachstelle, sondern nur ein einfaches Konto auf dem Rechner. Danach gehört ihm die ganze Maschine.
Das Wichtigste in Kürze
- Qualys hat mit RefluXFS (CVE-2026-64600) eine Rechteausweitung im XFS-Dateisystem des Linux-Kernels offengelegt, die ein lokales Konto zu Root befördert.
- Verwundbar ist jeder Kernel ab Version 4.11 aus dem Jahr 2017 mit aktiviertem reflink, also die Standardkonfiguration von RHEL 8 bis 10, Oracle Linux, Rocky, AlmaLinux und Amazon Linux 2023.
- SELinux, Container-Isolation und die üblichen Kernel-Schutzmechanismen halten den Angriff nicht auf, und im Kernel-Log bleibt er unsichtbar.
- Die einzige verlässliche Abhilfe bleibt das Einspielen der bereitgestellten Kernel-Updates samt Neustart.
Warum genügt ein einfaches Konto für volle Root-Rechte?
Wettlauf im Dateisystem. RefluXFS nutzt eine Race Condition im Copy-on-Write-Pfad von XFS.[1] Zwei gleichzeitige Direktschreibzugriffe auf dieselbe reflink-Datei bringen den Kernel dazu, seine Inode-Sperre kurz fallen zu lassen, während er auf Platz im Transaktionslog wartet.
Fremder Block. In diesem Moment schließt der zweite Schreibvorgang seine Kopie ab, der erste greift danach auf eine veraltete Blockadresse zu und schreibt direkt in die Originaldatei. So überschreibt ein Angreifer geschützte Dateien wie die /etc/passwd oder ein SUID-Root-Programm, ohne Besitzer, Rechte oder Inode-Metadaten anzurühren.
Schutz läuft ins Leere. Weder SELinux im Enforcing-Modus noch Container-Grenzen, KASLR oder seccomp verhindern den Zugriff, weil der Fehler unterhalb dieser Schichten im Dateisystem selbst sitzt. Der Angriff hinterlässt zudem keinen einzigen Eintrag im Kernel-Log und rutscht so an protokollbasierter Erkennung vorbei.
Warum fällt so ein Fehler erst nach neun Jahren auf?
Alte Bekannte. Qualys’ Threat Research Unit hat schon PwnKit und Looney Tunables aufgedeckt, zwei Rechteausweitungen, die jahrelang in weit verbreiteten Linux-Komponenten geschlummert haben. RefluXFS reiht sich in diese Serie ein, tief im Code vergraben und über Millionen Installationen hinweg übersehen.
KI als Spürhund. Nach eigener Darstellung hat Qualys die Lücke gemeinsam mit Anthropic und dessen Vorschaumodell Claude-Mythos aufgespürt. Damit passt der Fund in einen jungen Trend, in dem sich zuletzt OpenAIs Testmodelle aus ihrer Sandbox befreit haben und Sicherheitsteams KI-Modelle gezielt auf die Suche nach Schwachstellen ansetzen.
Breite Angriffsfläche. reflink ist auf Red Hat und seinen Ablegern seit Jahren voreingestellt, weshalb die 16,4 Millionen betroffenen Systeme keine Ausnahmen sind, sondern die Normalinstallation.[1] Eine lokale Rechteausweitung wie diese wird brisant, sobald ein Angreifer über ein gekapertes Web-Konto, einen kompromittierten Dienst oder eine gemanagte Hosting-Umgebung überhaupt einen Fuß auf das System setzt. Die Grundlagen der Absicherung zeigen, wie sich diese erste Hürde erhöhen lässt.
Was versagt, und was wirklich hilft
Eine Lücke, die neun Jahre im Standard-Kernel überlebt, ist kein Ausrutscher, sondern ein Beleg dafür, wie dünn die Prüfdecke selbst über der Kerninfrastruktur liegt. Dass ausgerechnet eine KI den Fehler fand, sollte Sicherheitsverantwortliche nachdenklich stimmen, nicht beruhigen.
— Michael Dobler, Herausgeber Dr. Web
Was sollten Administratoren im DACH-Raum jetzt tun?
Sofort patchen. Die Distributoren haben korrigierte Kernel bereitgestellt und verteilen die Rückportierungen an ihre Enterprise-Zweige. Spielen Sie diese Updates gerne umgehend ein und starten Sie die Systeme anschließend neu, denn erst nach dem Neustart läuft der reparierte Kernel wirklich.
Kein Zwischenweg. Einen reinen Konfigurations-Workaround gibt kein Anbieter aus, und das Abschalten von reflink ist auf Bestandssystemen keine Option. Für Betreiber unter NIS2 zählt ein ungepatchter Root-Exploit dieser Größenordnung als offenes Compliance-Risiko, das dokumentierte Fristen im Patch-Management verlangt.
Jetzt handeln. Prüfen Sie heute, welche Ihrer Server XFS mit reflink einsetzen, und ziehen Sie die Kernel-Updates vor, statt auf das nächste Wartungsfenster zu warten. Ein Angreifer mit einem beliebigen lokalen Zugang braucht sonst nur Minuten bis Root.
Quelle
[1] Qualys Threat Research Unit: „RefluXFS: A Linux Kernel Local Privilege Escalation to Root in XFS (CVE-2026-64600)“ ↩
Mehr Newshunger?
- OpenAIs KI-Agent durchbricht die Testumgebung und hackt Hugging Face
- Hanwha-Überwachungskamera verrät einen GitHub-Admin-Token in der Firmware
- Cyberangriff als Insiderinformation: BaFin verhängt 240.000 Euro gegen TeamViewer
- Service Factory Nord: Wie Cancom 100.000 Behörden-Arbeitsplätze bestückt
- Smart-Home-Plattform wibutler erneut insolvent
- Bitchat: Indiens Sperrverfügung gegen Jack Dorseys Mesh-App bei GitHub
