Коротко: 22 июля 2026 года команда Qualys раскрыла RefluXFS (CVE-2026-64600) — уязвимость в файловой системе XFS ядра Linux, которой уже девять лет. Обычный локальный пользователь может получить права root, переписав защищённые файлы на диске. Под угрозой более 16 млн систем на RHEL, Oracle Linux, Fedora, Rocky Linux и других дистрибутивах. Обновите ядро и перезагрузитесь.
Что произошло?
22 июля 2026 года подразделение Qualys Threat Research Unit опубликовало детали CVE-2026-64600 под названием RefluXFS — уязвимости локального повышения привилегий в файловой системе XFS ядра Linux. Она позволяет атакующему, у которого уже есть обычная непривилегированная учётная запись на машине, получить полный доступ root. Уязвимость не экзотическая: она появилась ещё в 2017 году (ядро v4.11) и тихо просуществовала около девяти лет, прежде чем её нашли.
Опасность усиливают две вещи. Во-первых, XFS с включённым reflink — это конфигурация по умолчанию в крупных корпоративных дистрибутивах, то есть никакой особой настройки не требуется. Во-вторых, вместе с раскрытием был опубликован рабочий proof-of-concept: злоумышленникам не пришлось разрабатывать эксплойт самим. Это ровно тот сценарий, когда маленький плацдарм превращается в полный захват сервера, — та же логика эскалации, что стоит за утечкой миллиардов учётных данных, о которой мы писали ранее.
Как работает уязвимость?
Технически RefluXFS — это состояние гонки (race condition) в механизме копирования при записи (reflink) файловой системы. Когда две одновременные прямые записи обращаются к одному и тому же reflink-файлу, ядро на мгновение снимает внутреннюю блокировку, ожидая места в журнале транзакций. В этот краткий момент второй писатель меняет состояние ссылки на блок, а когда первый возобновляет работу, он доверяет устаревшим метаданным и пишет прямо в исходный блок вместо приватной копии.
На практике это даёт непривилегированному процессу возможность переписать любой читаемый файл на томе XFS на уровне блоков — например /etc/passwd или SUID-root-бинарник — и превратить это в права root. Qualys отмечает, что изменения сохраняются после перезагрузки, не оставляют следов в журналах ядра и не блокируются стандартными механизмами защиты вроде SELinux, KASLR или изоляции контейнеров. Уязвимость исправили в основной ветке ядра 16 июля 2026 года, а корпоративные вендоры выпускают бэкпорты патчей.
Кого это касается и чем опасно для ваших данных?
Уязвимость затрагивает ядро Linux версии 4.11 и новее с файловой системой XFS и включённым reflink — это настройка по умолчанию в RHEL, Oracle Linux, Amazon Linux, Fedora, CentOS Stream, Rocky Linux, AlmaLinux и CloudLinux. По оценке Qualys, под угрозой может быть более 16,4 млн систем. Для эксплуатации нужен локальный доступ, так что это не удалённый взлом «в один клик» — но в реальном мире это слабое утешение.
Почему обычному пользователю стоит переживать из-за «серверной» дыры? Сайты, приложения и облачные сервисы, которые хранят ваши персональные данные, работают именно на таких дистрибутивах Linux. Атакующие редко начинают с root: они получают небольшой плацдарм — веб-шелл, украденный логин с низкими правами, взломанный хостинг-аккаунт — и затем через локальную эскалацию вроде RefluXFS захватывают весь сервер и все базы пользователей на нём. Тихий, не оставляющий логов root-эксплойт — это то, как мелкий инцидент превращается в масштабную утечку. Опасно он сочетается и с трендом бесконтрольной автоматизации и утечек данных через теневой ИИ внутри компаний.
Как защититься?
Администраторам: патч и перезагрузка. Установите обновление ядра из вашего дистрибутива и перезагрузите сервер — работающее уязвимое ядро остаётся уязвимым до рестарта. Где немедленная перезагрузка невозможна, примените live-патчинг от вендора и ограничьте, кто может писать в общие каталоги.
Сократите то, что может утечь. Чужой сервер вы не пропатчите, но можете уменьшить свой след на нём: используйте уникальный пароль на каждом сервисе и менеджер паролей, чтобы одна взломанная база не открыла доступ ко всем остальным.
Включите двухфакторную аутентификацию везде, где она есть. Даже если серверная утечка раскроет ваш логин, 2FA не даст войти по одному лишь паролю.
Шифруйте соединение. VPN не исправит уязвимость на стороне сервера — это может сделать только оператор. Но no-logs VPN защищает другой слой: в недоверенном Wi-Fi он шифрует трафик и скрывает реальный IP, чтобы логины и сессии нельзя было перехватить, пока вы меняете пароли после утечки. Как это устроено у LiMP VPN, смотрите в описании возможностей, а тариф выбирайте на странице цен; больше новостей о безопасности — в нашем блоге.
Источники
Материал подготовлен по исследованию Qualys и публикациям BleepingComputer и The Hacker News (июль 2026 года), с рекомендациями вендора Red Hat.