พบช่องโหว่ความปลอดภัยระดับรุนแรงใน Linux Kernel ที่ฝังตัวอยู่นานกว่า 9 ปี โดยทีมนักวิจัย Qualys Threat Research Unit (TRU) ได้ค้นพบและระบุรหัสติดตามเป็น CVE-2026-64600 พร้อมตั้งชื่อช่องโหว่นี้ว่า “RefluXFS” ซึ่งเปิดโอกาสให้ผู้ใช้งานท้องถิ่นระดับธรรมดาที่ไม่ได้รับสิทธิ์พิเศษ สามารถเข้าแทรกแซงและแก้ไขไฟล์สำคัญของระบบเพื่อยกระดับสิทธิ์ของตนเองขึ้นเป็น Root ได้สำเร็จ
ภัยคุกคามนี้ส่งผลกระทบโดยตรงต่อระบบที่ใช้งาน Linux Kernel เวอร์ชั่น v4.11 ขึ้นไป และปรับแต่งระบบไฟล์เป็น XFS ที่เปิดใช้งานฟีเจอร์ reflink ซึ่งถือเป็นค่าเริ่มต้นในระบบปฏิบัติการ Enterprise Linux ชั้นนำส่วนใหญ่ นอกจากนี้ขอเพียงผู้โจมตีมีสิทธิ์เขียนข้อมูลลงในไดเรกทอรีใดก็ได้ในระบบ และมีไฟล์เป้าหมายระดับสูงอย่างไฟล์ตั้งค่าสิทธิ์ Root หรือไบนารีประเภท SUID-root เช่น /etc/passwd หรือ /usr/bin/su ก็เพียงพอที่จะเริ่มกระบวนการเจาะระบบได้ทันที
สิ่งที่ทำให้ RefluXFS น่ากลัวเป็นพิเศษคือความสามารถในการหลบเลี่ยงกลไกการป้องกันความปลอดภัยมาตรฐานบน Linux ทั้งหมด ไม่ว่าจะเป็น SELinux, Kernel Lockdown, ระบบแยกส่วนอย่าง Container Isolation รวมถึงฟีเจอร์ป้องกันหน่วยความจำชั้นนำ เช่น KASLR, SMEP และ SMAP เนื่องจากช่องโหว่นี้เกิดขึ้นและทำงานในระดับชั้นการจัดสรรพื้นที่ของระบบไฟล์ ซึ่งเป็นเลเยอร์ระดับล่างสุดที่อยู่ใต้ระบบตรวจจับความปลอดภัยเหล่านี้ ส่งผลให้ระบบป้องกันไม่สามารถเข้ามาระงับหรือยับยั้งการโจมตีได้เลย
ในส่วนของกลไกการโจมตี ทีมนักวิจัยอธิบายว่าผู้โจมตีจะเริ่มจากการทำ reflink-clone หรือคัดลอกไฟล์เป้าหมายของ Root มาไว้ในไฟล์ชั่วคราว ที่ตนเองเป็นเจ้าของ จากนั้นจะอาศัยสภาวะ Race Condition โดยการแย่งชิงจังหวะรันคำสั่งเขียนข้อมูลแบบ O_DIRECT พร้อมกันหลายเส้นทางลงบนไฟล์ชั่วคราวนั้น ความผิดพลาดในสภาวะการทำงานขนานนี้จะส่งผลให้ระบบไฟล์เขียนข้อมูลใหม่ทับลงไปในไฟล์ต้นฉบับของ Root โดยตรง
ทาง Qualys ยืนยันเพิ่มเติมว่าการโจมตีด้วยวิธีนี้มีความเสถียรและแม่นยำสูงมากที่สำคัญคือไม่ทิ้งร่องรอยการทำงานใดๆ ไว้ใน Kernel Log เลยแม้แต่น้อย และข้อมูลที่ถูกเขียนทับบนดิสก์จะยังคงอยู่ตลอดไปแม้ว่าเครื่องเซิร์ฟเวอร์จะถูกสั่งรีบูตใหม่ก็ตาม ทำให้ RefluXFS ถือเป็นหนึ่งในช่องโหว่ที่ทรงพลังและตรวจจับได้ยากที่สุดช่องโหว่หนึ่งในปัจจุบัน
