CVE-2026-64600 RefluXFS : LPE root silencieuse Linux RHEL

Les faits

Le 22 juillet 2026, l’équipe Qualys Threat Research Unit (TRU) a publié l’analyse complète de CVE-2026-64600, baptisée « RefluXFS », une vulnérabilité de type local privilege escalation (LPE) dans le noyau Linux, présente depuis neuf ans dans le système de fichiers XFS. La faille a été corrigée dans l’arbre principal du noyau Linux le 16 juillet 2026, mais les distributions entreprise étaient encore en cours de backport au moment de la divulgation, laissant des millions de systèmes exposés. Red Hat a attribué à cette vulnérabilité un score CVSS v3.1 de 7.8 avec le vecteur AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H et une sévérité classée « Important ».

XFS est le système de fichiers par défaut sur Red Hat Enterprise Linux depuis la version 7, publiée en 2014. Il est également utilisé par défaut sur Oracle Linux, Amazon Linux 2 et 2023, et Fedora Server. La fonctionnalité reflink — introduite dans XFS en 2017 et permettant le partage de blocs entre fichiers sans duplication des données — est au cœur de la vulnérabilité. Cette fonctionnalité est activée par défaut sur les installations récentes de RHEL 8 et RHEL 9, ce qui explique l’ampleur de la surface d’attaque estimée à 16,4 millions de systèmes rien que pour RHEL.

La vulnérabilité est une race condition dans le chemin de copie-sur-écriture (copy-on-write, CoW) de XFS. Quand deux opérations d’écriture concurrentes en O_DIRECT ciblent le même fichier reflinké, le noyau peut brièvement relâcher le verrou d’inode (inode lock) en attendant que de l’espace soit disponible dans le journal de transactions. Pendant cette fenêtre temporelle, un second écrivain peut compléter sa propre opération de remappage et modifier l’état de référence du bloc original. Lorsque le premier écrivain reprend, il fait confiance à des métadonnées périmées et écrit directement dans le bloc original au lieu d’une copie privée.

Ce comportement crée un primitif d’écriture arbitraire au niveau du bloc système, en dessous des couches de contrôle d’accès habituel. En pratique, l’exploit démontré par Qualys part d’un compte utilisateur non privilégié ordinaire et déclenche la race condition pour écraser silencieusement un fichier système protégé au niveau de la couche bloc, contournant les vérifications des permissions POSIX et des politiques MAC. En quelques secondes, la protection par mot de passe du compte root est supprimée, accordant un accès root immédiat sans authentification. Les chercheurs de Qualys démontrent que l’escalade peut persister entre les redémarrages et ne laisse que très peu de traces forensiques dans les journaux système classiques.

L’aspect le plus alarmant de RefluXFS est son efficacité face aux mécanismes de défense en profondeur habituellement considérés comme fiables. SELinux en mode Enforcing, activé par défaut sur RHEL, ne bloque pas l’exploitation : l’attaque se produit à la couche bloc, en dessous des politiques de contrôle d’accès obligatoire. De même, les conteneurs Linux (cgroups, namespaces), l’intégrité vérifiée (IMA/EVM) et les modules AppArmor ne constituent pas de mitigations efficaces contre ce vecteur. D’après l’analyse de Qualys, les systèmes exécutés dans des machines virtuelles sont également vulnérables si le système de fichiers hôte est XFS avec reflink activé.

La vulnérabilité a été introduite dans le code source du noyau Linux en 2017 lors de l’ajout du support reflink à XFS. Pendant neuf ans, ce comportement était présent sans être détecté dans toutes les versions du noyau Linux utilisant XFS avec reflink. Le correctif a été fusionné dans l’arbre mainline le 16 juillet 2026. Red Hat a annoncé la disponibilité des paquets corrigés pour RHEL 8 et RHEL 9, tandis que Oracle Linux, Amazon Linux et Fedora ont publié ou étaient en cours de publier leurs propres mises à jour au moment de la divulgation publique le 22 juillet 2026.

Qualys note explicitement dans son blog de recherche qu’il n’existe aucune mitigation temporaire fiable connue en dehors de l’application du patch noyau. Contrairement à certaines vulnérabilités où la désactivation d’un module constitue une workaround acceptable, la désactivation de reflink XFS n’est pas possible sur un système de fichiers existant sans reformatage complet — une opération non envisageable en production. D’après TechTimes, l’estimation de 16,4 millions de systèmes RHEL exposés est conservatrice et ne prend pas en compte les déploiements Oracle Linux et Amazon Linux.

Cette découverte s’inscrit dans la continuité du travail de recherche de Qualys TRU sur les vulnérabilités Linux à fort impact. La nomenclature « RefluXFS » combine « reflux » (l’inversion du flux d’écriture attendu) et « XFS » (le filesystem concerné), un nom mémorable facilitant la communication au sein des équipes ops lors des campagnes de patching d’urgence. La faille démontre une fois de plus que des vulnérabilités critiques peuvent rester cachées pendant des années dans des composants fondamentaux du système d’exploitation, même lorsque ces composants sont massivement utilisés et régulièrement audités.

Impact et exposition

L’exposition à CVE-2026-64600 est limitée aux attaquants disposant d’un accès local authentifié au système — exploit de type local privilege escalation. Cependant, dans les scénarios d’attaque réels, les LPE Linux sont systématiquement enchanînées après un accès initial obtenu via une autre vulnérabilité (shell web, RCE applicatif, compte de service compromis). Une fois root obtenu, l’attaquant peut installer des rootkits persistants, exfiltrer des données chiffrées et compromettre d’autres systèmes sur le réseau.

Les environnements cloud (AWS EC2 avec Amazon Linux 2023, instances Oracle Cloud) et les infrastructures containerées sur hôtes RHEL sont directement concernés. Les clusters Kubernetes sur RHEL représentent un cas de risque élevé d’après TuxCare et SecurityOnline : un pod compromis exécutant un exploit RefluXFS peut élever ses privilèges sur le nœud hôte, échapper au namespace container et compromettre l’ensemble du cluster. Les systèmes multi-utilisateurs (serveurs SSH) présentent le risque le plus élevé car un utilisateur légitime peut élever ses privilèges sans interaction externe. À ce jour, aucune exploitation in-the-wild n’a été signalée.

La criticité effective de RefluXFS dépend du contexte de déploiement. Pour les organisations ayant des exigences de conformité strictes (PCI-DSS, HDS, ISO 27001), l’application immédiate du correctif est non négociable. Les environnements mutualisés (hébergeurs, fournisseurs SaaS sur RHEL) doivent traiter cette vulnérabilité comme critique car un client malveillant pourrait s’en servir pour compromettre l’hôte physique et accéder aux données d’autres clients.

Recommandations immédiates

• RHEL 9 : sudo dnf update kernel et redémarrage du système — advisory : Red Hat Security Advisory pour CVE-2026-64600 (disponible sur le portail Customer Portal Red Hat)
• RHEL 8 : appliquer la mise à jour kernel via sudo dnf update kernel et planifier une fenêtre de redémarrage immédiate — aucune mitigation sans redémarrage n’est disponible
• Amazon Linux 2023 : sudo dnf update kernel puis redémarrage de l’instance ou remplacement par une nouvelle AMI corrigée
• Oracle Linux, Fedora Server : appliquer les mises à jour sécurité disponibles via dnf update kernel
• Prioriser les systèmes multi-utilisateurs, les nœuds Kubernetes, les serveurs SSH accessibles depuis Internet et les instances cloud exécutant des charges de travail sensibles