Celah RefluXFS di Linux Bisa Beri Akses Root, Patch Kernel Mendesak
Kerentanan baru pada kernel Linux yang dijuluki RefluXFS membuka jalur bagi penyerang lokal untuk menimpa file yang seharusnya dilindungi dan meningkatkan hak akses hingga root. Celah ini dilacak sebagai CVE-2026-64600 dan berada pada filesystem XFS, khususnya pada mekanisme copy-on-write yang digunakan ketika fitur reflink aktif.
Masalah tersebut dinilai serius karena telah ada sejak kernel Linux 4.11, yang dirilis pada 2017. Artinya, celah ini berpotensi memengaruhi sistem yang sudah berjalan selama bertahun-tahun pada konfigurasi enterprise Linux modern, terutama jika menggunakan XFS dengan reflink aktif.
Eksploitasi Terjadi di Lapisan Filesystem
RefluXFS merupakan race condition pada jalur copy-on-write XFS. Dalam skenario serangan, pengguna lokal tanpa hak istimewa dapat membuat reflink clone dari file target, seperti /etc/passwd atau binary SUID-root, lalu memicu penulisan O_DIRECT secara bersamaan pada file miliknya.
Jendela race di jalur alokasi CoW membuat salah satu penulisan dapat mendarat pada blok fisik yang masih menjadi bagian dari file asli. Dampaknya, perubahan dilakukan langsung di disk, bertahan setelah reboot, tidak mengubah inode target, dan tidak menghasilkan log kernel yang mudah terlihat.
Kondisi ini membuat eksploitasi RefluXFS berbeda dari banyak celah kernel lain yang bergantung pada korupsi memori. Serangan berlangsung di lapisan alokasi filesystem, sehingga pertahanan standar seperti SELinux, kernel lockdown, isolasi container, KASLR, SMEP, dan SMAP tidak menghentikan jalur eksploitasi tersebut.
Distro Enterprise Masuk Daftar Terdampak
Sistem yang berisiko adalah mesin dengan kernel Linux 4.11 atau lebih baru, menggunakan filesystem XFS dengan reflink=1, memiliki direktori yang dapat ditulis oleh pengguna biasa, serta memiliki target bernilai tinggi seperti file konfigurasi milik root atau binary SUID-root.
Distribusi yang disebut terdampak mencakup Red Hat Enterprise Linux, Oracle Linux, Amazon Linux, Fedora, CentOS Stream, Rocky Linux, AlmaLinux, dan CloudLinux. Debian, Ubuntu, dan SUSE tidak memakai XFS sebagai default, namun tetap dapat terdampak bila administrator memilih XFS secara manual dengan reflink aktif.
Analisis berbasis aset memperkirakan kerentanan ini dapat menyentuh lebih dari 16,4 juta sistem. Walau CVE-2026-64600 bersifat lokal, kompromi awal pada host rentan dapat digunakan untuk memperoleh root, membangun persistensi, memanipulasi kredensial, atau memperluas pergerakan lateral di jaringan.
Patch Kernel dan Reboot Jadi Langkah Utama
Perbaikan untuk RefluXFS telah digabungkan ke source tree kernel Linux pada 16 Juli 2026 dan mulai dibackport oleh vendor distribusi enterprise. Organisasi disarankan memprioritaskan pembaruan pada server multi-tenant, sistem yang menangani beban kerja sensitif, dan host yang dapat menjadi titik eskalasi setelah kompromi awal.
Saat ini tidak ada mitigasi sementara yang dianggap praktis dan andal untuk menggantikan patch. Karena perubahan kernel baru berlaku setelah sistem menggunakan kernel tetap, administrator perlu melakukan reboot setelah pembaruan untuk memastikan sistem benar-benar keluar dari kondisi rentan.
Penemuan RefluXFS juga menyoroti peran riset keamanan yang dibantu AI. Kerentanan ini ditemukan dalam inisiatif riset yang melibatkan pemanfaatan Claude Mythos Preview untuk membantu audit manual, sebelum hasilnya direproduksi, ditinjau, dan diverifikasi oleh peneliti keamanan manusia.
Sumber: Qualys
