สรุปสั้น
RefluXFS เป็นช่องโหว่ Linux kernel ตัวใหม่ที่ถูกเปิดเผยเมื่อวันที่ 22 กรกฎาคม และติดตามในรหัส CVE-2026-64600 ซึ่งเปิดทางให้ผู้ใช้ทั่วไปที่ไม่มีสิทธิ์พิเศษ (unprivileged local user) สามารถเขียนทับไฟล์ที่เป็นของ root บนระบบไฟล์ XFS และยึดสิทธิ์ root แบบถาวรได้ บริษัท Qualys ระบุว่าการติดตั้งค่าเริ่มต้นของ Red Hat Enterprise Linux (RHEL) และดิสโทรที่ดัดแปลงมา รวมถึง Fedora Server และ Amazon Linux สามารถเข้าเงื่อนไขของการโจมตีได้
บริษัทสาธิตการโจมตีแบบ race condition กับไฟล์ /etc/passwd และไบนารีที่มี setuid-root โดยการเขียนทับเกิดขึ้นที่ชั้น block layer ทำให้รอดจากการรีบูตและคงเจ้าของไฟล์ สิทธิ์ ไทม์สแตมป์ และบิต setuid ของเป้าหมายไว้เดิม ไบนารี setuid-root ที่ถูกแก้ไขจึงยังทำงานในฐานะ root ได้ การแก้ไขถูกรวมเข้าโค้ดเมื่อวันที่ 16 กรกฎาคม และผู้ผลิต Linux เริ่มทยอยปล่อยเคอร์เนลที่ backport แล้ว บั๊กนี้ถูกสืบย้อนไปถึง Linux 4.11 ในปี พ.ศ. 2560 จุดที่น่าสนใจเป็นพิเศษคือช่องโหว่นี้ถูกค้นพบโดยโมเดล AI ชื่อ Claude Mythos ของบริษัท Anthropic
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 23 กรกฎาคม พ.ศ. 2569 ว่า RefluXFS ช่องโหว่ Linux kernel ที่เปิดเผยเมื่อวันที่ 22 กรกฎาคมและติดตามในรหัส CVE-2026-64600 เปิดทางให้ผู้ใช้ทั่วไปที่ไม่มีสิทธิ์พิเศษเขียนทับไฟล์ของ root บนระบบไฟล์ XFS และได้สิทธิ์ root ถาวร โดยบริษัท Qualys ระบุว่าการติดตั้งค่าเริ่มต้นของ RHEL และดิสโทรที่ดัดแปลงมา, Fedora Server และ Amazon Linux เข้าเงื่อนไขการโจมตีได้
การโจมตีต้องอาศัย 3 เงื่อนไข ได้แก่ ระบบรัน Linux 4.11 หรือใหม่กว่าโดยยังไม่ได้แพตช์ RefluXFS, ระบบไฟล์ XFS ถูกสร้างด้วยตัวเลือก reflink=1 และไฟล์เป้าหมายที่อ่านได้กับไดเรกทอรีที่ผู้โจมตีเขียนได้ต้องอยู่บนระบบไฟล์ XFS เดียวกัน Qualys แนะนำให้แพตช์ระบบที่เปิดสู่ภายนอกและระบบแบบ multi-tenant ก่อน ซึ่งหมายถึงโฮสต์ XFS ที่เปิด reflink ทุกเครื่องที่โค้ดจากผู้ไม่น่าเชื่อถือสามารถรันในเครื่องได้ ไม่ว่าจะผ่าน shell, งาน CI หรือบริการที่ถูกเจาะ
คำเตือนระบุรายชื่อการติดตั้งค่าเริ่มต้นที่เข้าเงื่อนไขได้ ได้แก่ RHEL, CentOS Stream, Oracle Linux, Rocky Linux, AlmaLinux และ CloudLinux เวอร์ชัน 8, 9 และ 10, Fedora Server 31 ขึ้นไป, Amazon Linux 2023 และอิมเมจ Amazon Linux 2 ตั้งแต่เดือนธันวาคม พ.ศ. 2565 เป็นต้นมา ส่วน RHEL 7 ไม่ได้รับผลกระทบเพราะมีมาก่อนที่ XFS จะรองรับ reflink สำหรับ Debian, Ubuntu, SLES และ openSUSE โดยทั่วไปไม่ได้ใช้ XFS เป็นระบบไฟล์ root ตามค่าเริ่มต้น จึงเสี่ยงเฉพาะเมื่อผู้ดูแลเลือก XFS พร้อมเปิด reflink ตอนติดตั้งเท่านั้น ผู้ใช้สามารถตรวจสอบระบบไฟล์ root ด้วยคำสั่ง xfs_info / | grep reflink= โดยหากได้ผลลัพธ์ reflink=1 แสดงว่าเข้าเงื่อนไขที่สอง
รายละเอียดช่องโหว่
ช่องโหว่นี้เป็นความผิดพลาดแบบ check-then-use ข้ามช่วงล็อก (lock cycle) ผู้โจมตีเริ่มด้วยการโคลนไฟล์ของ root เข้าไฟล์ชั่วคราวด้วย FICLONE ซึ่งต้องการเพียงสิทธิ์อ่านที่ไฟล์ต้นทาง แล้วแข่งเขียนแบบ O_DIRECT พร้อมกันหลายชุดกับไฟล์โคลนนั้น เนื่องจาก reflink ของ XFS ใช้กลไก copy-on-write ไฟล์ทั้งสองจึงอ้างอิงบล็อกจริงบนดิสก์ชุดเดียวกันในตอนแรก เคอร์เนลอ่าน data-fork mapping ภายใต้ inode lock แล้วส่งต่อให้ฟังก์ชัน xfs_reflink_fill_cow_hole() ซึ่งจะปล่อยและจับล็อกใหม่เพื่อจองพื้นที่ transaction ในช่วงจังหวะนั้นเอง writer ตัวที่สองสามารถทำ copy-on-write ให้เสร็จและ remap ไฟล์โคลนไปยังบล็อกใหม่ได้ เมื่อ writer ตัวแรกจับล็อกกลับมา มันจะรีเฟรช copy-on-write fork แต่ยังใช้ data-fork mapping เดิมที่เก่าไปแล้ว
แพตช์ต้นทางอธิบายความล้มเหลวนี้ตรงไปตรงมาว่า “mapping เหล่านั้นเก่าทันทีที่เราจับ ILOCK กลับมา” ที่อยู่ที่เก่าแล้วนั้นชี้ไปยังบล็อกที่เป็นของไฟล์ต้นฉบับที่ถูกป้องกันเพียงไฟล์เดียว XFS จึงมองว่าบล็อกนั้นไม่ได้ถูกแชร์และอนุญาตให้เขียนตรงลงไป ทำให้ข้อมูลที่ตั้งใจจะเขียนลงไฟล์โคลนของผู้โจมตีไปตกที่ไฟล์เป้าหมายแทน เนื่องจาก Direct I/O ข้าม page cache และไม่มี hook สำหรับตรวจสอบซ้ำ การเขียนจึงลงดิสก์จริง และเพราะข้ามตัว inode ของเป้าหมายไปเลย เมทาดาทาจึงไม่เปลี่ยนแปลง นักวิจัยระบุว่าการทดสอบไม่สร้างคำเตือนหรือรายการ log ในเคอร์เนลใดๆ บนเครื่องทดสอบ การแข่งขันมักชนะภายในเวลาไม่ถึง 10 วินาที และเดโมที่เผยแพร่สามารถถอดรหัสผ่าน root ออกจากเครื่อง RHEL 10.2 ค่าเริ่มต้นได้
Qualys เปิดเผยว่าโมเดล AI เป็นผู้ค้นพบช่องโหว่นี้ โดยบริษัทได้ชี้ Claude Mythos Preview ซึ่งเป็นโมเดลระดับแนวหน้าที่จำกัดการเข้าถึงของ Anthropic ไปที่เคอร์เนล และตามคำแนะนำทางเทคนิคของบริษัท “ขอให้มันหาช่องโหว่ที่คล้ายกับ Dirty COW” โมเดลสามารถค้นพบ race condition เขียน exploit ที่ยกสิทธิ์เป็น root ได้จริง และร่างคำเตือน จากนั้นนักวิจัยได้ทำซ้ำบนเครื่อง Fedora Server 44 มาตรฐาน ตรวจสอบเหตุผลของโมเดล และประสานงานเปิดเผยช่องโหว่กับต้นน้ำ ที่น่าสังเกตคือนี่ไม่ใช่บั๊กเคอร์เนลเก่าตัวแรกของทีมในปีนี้ ก่อนหน้านั้นหนึ่งวัน Qualys เพิ่งเปิดเผยช่องโหว่ snap-confine ใน Ubuntu Desktop (CVE-2026-8933) และเมื่อเดือนพฤษภาคมพบบั๊กอายุ 9 ปีในการตรวจสอบ ptrace ของเคอร์เนล
ผลกระทบต่อไทย
RHEL และดิสโทรตระกูลเดียวกันอย่าง Rocky Linux, AlmaLinux, Oracle Linux รวมถึง Amazon Linux ถูกใช้แพร่หลายมากในเซิร์ฟเวอร์ขององค์กรไทย ทั้งในดาต้าเซ็นเตอร์ ระบบธนาคาร หน่วยงานราชการ และเวิร์กโหลดบนคลาวด์ โดยเฉพาะเซิร์ฟเวอร์ที่ใช้ระบบไฟล์ XFS เป็นค่าเริ่มต้น ความอันตรายของช่องโหว่นี้อยู่ที่มันเปลี่ยนผู้ใช้ธรรมดาให้กลายเป็น root ได้ ซึ่งเป็นภัยร้ายแรงต่อระบบแบบ multi-tenant เช่น เซิร์ฟเวอร์ที่ให้บริการ shared hosting, ระบบ CI/CD ที่รันโค้ดจากผู้ใช้หลายราย หรือคอนเทนเนอร์ที่ผู้โจมตีอาจหลุดออกมาได้ ที่น่ากังวลคือ Qualys ระบุว่าไม่มีมาตรการบรรเทาชั่วคราวหรือการปรับตั้งค่าใดที่ใช้ได้ และกลไกป้องกันอย่าง SELinux โหมด Enforcing, seccomp, kernel lockdown และขอบเขตคอนเทนเนอร์ ล้วนหยุดการโจมตีนี้ไม่ได้ในการทดสอบ องค์กรไทยที่รันเซิร์ฟเวอร์ Linux ตระกูลนี้จึงต้องเร่งแพตช์และรีบูตโดยเร็ว
คำแนะนำ
เนื่องจากไม่มีมาตรการบรรเทาชั่วคราว ทางแก้เดียวคือติดตั้งอัปเดตเคอร์เนลจากผู้ผลิตและรีบูตระบบ Red Hat ได้ออกคำแนะนำเคอร์เนลระดับ Important ครอบคลุม RHEL 8, 9 และ 10 โดย errata เริ่มปล่อยตั้งแต่วันที่ 14 กรกฎาคม (แปดวันก่อนการเปิดเผยแบบประสานงาน) ได้แก่ RHSA-2026:39179 และ RHSA-2026:39180 สำหรับ RHEL 8 และ RHSA-2026:39494 สำหรับ RHEL 10 ผู้ดูแลควรยืนยันว่ามีคำแนะนำสำหรับรุ่นที่ใช้อยู่โดยเฉพาะ เพราะการครอบคลุมขึ้นกับแต่ละ stream ผู้ที่ติดตั้ง errata เหล่านี้ตามกำหนดจะได้รับการป้องกันตั้งแต่ก่อน RefluXFS จะมีชื่อเสียด้วยซ้ำ สิ่งสำคัญคือการติดตั้งแพ็กเกจไม่ได้แทนที่เคอร์เนลที่กำลังรันอยู่ในหน่วยความจำ จึงต้องรีบูตและตรวจสอบว่าระบบกำลังรันเคอร์เนลที่แก้ไขแล้วจริง ผู้ใช้สามารถตรวจว่าระบบเข้าเงื่อนไขหรือไม่ด้วยคำสั่ง xfs_info / | grep reflink= และควรให้ความสำคัญกับระบบ multi-tenant และระบบที่เปิดสู่ภายนอกเป็นอันดับแรก ทั้งนี้ยังไม่มีผู้ผลิตรายใดรายงานการโจมตีจริงในโลกไซเบอร์ ณ เวลาที่รายงาน แต่มี PoC สาธารณะปรากฏบน bug tracker ของ Red Hat แล้วเมื่อวันที่ 22 กรกฎาคม