Uma nova vulnerabilidade crítica no kernel do Linux, apelidada de RefluXFS (CVE-2026-64600), está a colocar em risco mais de 16,4 milhões de sistemas a nível global. Segundo os detalhes publicados pela Qualys no seu blogue oficial, esta falha de segurança permite que um utilizador local sem privilégios obtenha acesso total como administrador (root), contornando de forma silenciosa os principais mecanismos de defesa do sistema.
O erro tem origem numa condição de corrida no caminho de cópia na gravação do sistema de ficheiros XFS. Quando duas gravações simultâneas do tipo O_DIRECT visam o mesmo ficheiro no volume XFS, o kernel do Linux liberta brevemente o bloqueio do inode para aguardar espaço no registo de transações. É nesta curta janela de tempo que um atacante consegue intervir, forçando a gravação direta num bloco original com uma referência desatualizada e corrompendo ficheiros protegidos do sistema de forma permanente.
Como o ataque contorna as proteções de segurança
A gravidade da falha reside na sua capacidade de operar abaixo do radar convencional, neutralizando bloqueios que normalmente atuariam. Mecanismos avançados de proteção de memória, como KASLR, SMEP e SMAP, não surtem efeito, uma vez que a exploração ocorre diretamente na camada de alocação do sistema de ficheiros. O SELinux, mesmo em modo de imposição (Enforcing), também não consegue travar a execução do código vulnerável.
Durante a demonstração de conceito num ambiente padrão RHEL 10.2, os investigadores da unidade de pesquisa de ameaças (TRU) eliminaram a proteção da palavra-passe da conta root em poucos segundos. O acesso administrativo é garantido de forma imediata, a modificação sobrevive à reinicialização do equipamento e não deixa qualquer rasto nos registos do kernel.
Presente em todas as versões principais e estáveis do kernel desde a atualização 4.11, lançada em 2017, a vulnerabilidade exige três condições para ser ativada: um sistema com a falha por corrigir, um sistema de ficheiros XFS com o parâmetro reflink=1 ativo, e um diretório com permissão de escrita para utilizadores comuns junto a um alvo de alto valor, como um binário SUID-root. Distribuições empresariais de larga escala, como o RHEL, Oracle Linux, AlmaLinux, Rocky Linux e Fedora Server, integram a lista de infraestruturas diretamente expostas.
Inteligência artificial acelera a deteção do problema
A descoberta desta ameaça resultou de uma iniciativa conjunta entre os analistas da Qualys e a Anthropic. Através do modelo Claude Mythos Preview, os especialistas orientaram o sistema para investigar ativamente condições de corrida semelhantes à famosa falha Dirty COW. O modelo não só identificou o problema atual no XFS, como gerou uma prova de conceito funcional, posteriormente validada de forma manual pelos engenheiros.
A correção oficial já foi disponibilizada e está a ser implementada pelas principais empresas responsáveis pelas distribuições afetadas. Para as organizações e gestores de tecnologia em Portugal, a aplicação imediata da atualização de segurança e o consequente reinício completo dos servidores assumem um caráter de urgência absoluta. Não existe atualmente nenhuma solução paliativa viável para mitigar esta falha, que se junta a uma série de descobertas marcantes em 2026, como a CVE-2026-46333 e a falha CrackArmor.
Nenhum comentário
Seja o primeiro!