Une faille du noyau Linux permet a tout utilisateur local d obtenir les privileges root en silence

Une vulnerabilite recemment divulguee dans le systeme de fichiers XFS du noyau Linux pourrait permettre a n importe quel utilisateur local non privilegie d obtenir les droits root en silence sur des millions de systemes d entreprise, contournant les mesures de securite standard, notamment SELinux en mode Enforcing.

The Vulnerability

L unite de recherche sur les menaces de Qualys a divulgue publiquement la CVE-2026-64600, baptisee "RefluXFS", mardi. Elle revele une condition de concurrence dans le chemin de copie sur ecriture de XFS qui existe depuis la version 4.11 du noyau sortie en 2017. Cette faille permet a un attaquant de cloner un fichier protege par reflink, puis de lancer deux ecriture d E/S directes concurrentes sur le clone. Lorsque le noyau libere son verrou d inode en attendant de l espace journal, une adresse de bloc perimee contourne la verification du compteur de references, provoquant l atterrissage direct d une ecriture sur les blocs physiques du fichier d origine.Daily CyberSecurity+1

Le resultat est un ecrasement silencieux des fichiers systeme critiques, tels que /etc/passwd ou les binaire SUID-root, qui persiste apres les redemarrages et ne produit aucune trace dans les journaux du noyau. Lors d une demonstration de type preuve de concepto sur un systeme RHEL 10.2 par defaut, les chercheurs de Qualys ont supprime la protection par mot de passe du compte root en quelques secondes, obtenant un acces root sans mot de passe.youtube+1

Scope and Impact

Qualys estime que la faille touche potentiellement plus de 16,4 millions de systemes dans le monde. Les installations par defaut de Red Hat Enterprise Linux, CentOS Stream, Oracle Linux ↘ 0.95%, Rocky Linux, AlmaLinux, Amazon Amazon.com, Inc. ↘ 1.09% Linux 2023 et Fedora Server sont toutes vulnerables, car XFS avec reflink est la configuration par defaut du systeme de fichiers depuis 2019. Debian, Ubuntu et SUSE presentent un risque moindre et ne sont exposes que si un administrateur a configure manuellement XFS avec reflink active.Rankiteo Blog+2

La vulnerabilite opere au niveau de la couche d allocation du systeme de fichiers, sous les protections de memoire telles que KASLR, SMEP et SMAP. Qualys a note que "SELinux ne bloque pas le chemin affecte lors des tests", et l isolation des conteneurs s avere egalement insuffisante.Daily CyberSecurity

Remediation

Le correctif integre dans l arbre principal du noyau Linux le 16 juillet 2026 est activement retroporte par les distributions d entreprise. Des noyaux corriges sont deja disponibles pour RHEL, Oracle Linux, AlmaLinux, Rocky Linux et Fedora. Aucune exploitation active dans la nature n a ete confirmez, et Qualys a retenu le code d exploitation public.Rankiteo Blog+1

Il n existe pas de mesures d attenuation temporaires fiables, de sorte que l application de correctifs et un redemarrage complet restent la seule reponse efficace.youtube+1