Linux-Sicherheitslücke bringt lokalen Nutzern unbemerkt Root-Rechte

Eine neu entdeckte Schwachstelle im XFS-Dateisystem des Linux-Kernels könnte es jedem unprivilegierten lokalen Benutzer ermöglichen, auf Millionen von Unternehmenssystemen unbemerkt Root-Zugriff zu erlangen, während Standard-Sicherheitsmaßnahmen einschließlich SELinux im erzwungenen Modus umgangen werden.

Die Schwachstelle

Die Bedrohungsforschungseinheit von Qualys hat am Dienstag CVE-2026-64600 mit dem Namen "RefluXFS" öffentlich gemacht und eine Race Condition im XFS-Copy-on-Write-Pfad aufgedeckt, die seit Kernel-Version 4.11 aus dem Jahr 2017 existiert. Der Fehler ermöglicht es einem Angreifer, eine geschützte Datei per Reflink zu klonen und dann zwei Direkt-I/O-Schreibvorgänge gegen den Klon antreten zu lassen. Wenn der Kernel beim Warten auf Protokollspeicher seine Inode-Sperre freigibt, umgeht eine veraltete Blockadresse eine Referenzzählerprüfung, wodurch ein Schreibvorgang direkt auf den physischen Blöcken der Originaldatei landet.Daily CyberSecurity+1

Das Resultat ist ein unbemerktes Überschreiben kritischer Systemdateien wie /etc/passwd oder SUID-Root-Binärdateien, das Neustarts überdauert und keine Kernel-Log-Ausgabe erzeugt. In einer Machbarkeitsdemonstration auf einem Standard-RHEL-10.2-System entzog die Qualys-Forschungsgruppe dem Root-Konto in Sekunden den Passwortschutz und erlangte einen passwortfreien Root-Zugriff.youtube+1

Umfang und Auswirkungen

Qualys schätzt, dass der Fehler weltweit potenziell mehr als 16,4 Millionen Systeme betrifft. Standardinstallationen von Red Hat Enterprise Linux, CentOS Stream, Oracle Linux ↘ 0.95%, Rocky Linux, AlmaLinux, Amazon Amazon.com, Inc. ↘ 1.09% Linux 2023 und Fedora Server sind alle anfällig, da XFS mit reflink seit 2019 die Standard-Dateisystemkonfiguration ist. Debian, Ubuntu und SUSE weisen ein geringeres Risiko auf und sind nur dann gefährdet, wenn ein Administrator XFS manuell mit aktiviertem reflink konfiguriert hat.Rankiteo Blog+2

Die Schwachstelle arbeitet auf der Dateisystem-Zuweisungsschicht unterhalb von Speicherschutzfunktionen wie KASLR, SMEP und SMAP. Qualys stellte fest, dass "SELinux den betroffenen Pfad beim Testen nicht blockiert", und auch die Container-Isolierung versagt.Daily CyberSecurity

Behebung

Der Fix wurde am 16. Juli 2026 in den Mainline-Linux-Kernel-Baum aufgenommen, und Unternehmensdistributionen portieren den Patch aktiv zurück. Behobene Kernel sind bereits für RHEL, Oracle Linux, AlmaLinux, Rocky Linux und Fedora verfügbar. Es wurden keine Angriffe in freier Wildbahn bestätigt, und Qualys hat den öffentlichen Exploit-Code zurückgehalten.Rankiteo Blog+1

Es gibt keine zuverlässigen temporären Abhilfemaßnahmen. Ein Patch und ein vollständiger Neustart bleiben die einzige wirksame Reaktion.youtube+1