Falha de 9 anos no Linux permite acesso total a servidores e sistemas corporativos

Uma vulnerabilidade crítica no XFS, o sistema de gerenciamento de arquivos do Linux, colocou em risco mais de 16 milhões de sistemas ao redor do mundo. Identificada como CVE-2026-64600 e apelidada de RefluXFS, a falha esteve oculta no kernel (o núcleo do sistema operacional) desde fevereiro de 2017 e permitiu que invasores locais obtivessem privilégios máximos de administrador (root). O problema foi descoberto pela equipe de segurança da Qualys em um projeto conjunto com ferramentas de inteligência artificial da Anthropic.

A brecha afetou diretamente distribuições que utilizam o XFS por padrão em servidores, como Red Hat Enterprise Linux (RHEL), Oracle Linux, Amazon Linux, Fedora, CentOS Stream, Rocky Linux, AlmaLinux e CloudLinux. Sistemas como Debian, Ubuntu e SUSE, embora não adotem o XFS nativamente, também ficaram expostos nos casos em que o sistema de arquivos foi escolhido de forma manual durante a instalação.

Como a vulnerabilidade atuou nos sistemas

A falha decorreu de uma condição de corrida (race condition) na camada de alocação do sistema de arquivos XFS, especificamente quando a função reflink esteve ativada. Trata-se de uma configuração padrão na maioria das distribuições voltadas para grandes infraestruturas.

Ao contrário de brechas comuns, a RefluXFS operou abaixo das camadas tradicionais de defesa. Módulos de segurança conhecidos, como SELinux, isolation containers e proteções de memória (KASLR, SMEP e SMAP), não bloquearam o ataque.