Linux Çekirdeğinde Tespit Edilen RefluXFS Açığı Root Yetkisi Kazandırabiliyor
Qualys Threat Research Unit (TRU), Linux çekirdeğinde yaklaşık dokuz yıldır bulunan kritik bir güvenlik açığını kamuoyuna açıkladı. CVE-2026-64600 koduyla izlenen “RefluXFS” zafiyeti, belirli koşullar altında yerel saldırganların korunan dosyaları değiştirmesine ve sistemde root yetkisi elde etmesine olanak tanıyor. Güvenlik araştırmacıları, RefluXFS açığı için yaynmlanan yamaların gecikmeden uygulanmasını tavsiye ederken geçici bir koruma yönteminin bulunmadığını belirtiyor.
XFS Dosya Sistemi Katmanındaki Yarış Durumu Açığı Yıllarca Fark Edilmedi
Qualys’in teknik analizine göre güvenlik açığı, Linux çekirdeğinin XFS dosya sistemindeki reflink mekanizmasında bulunan yarış durumu (race condition) hatasından kaynaklanıyor. Sorun, Linux çekirdeğinin 4.11 sürümüyle birlikte 2017 yılında sisteme eklendi ve o tarihten sonra yayınlanan ana sürümlerin tamamında varlığını sürdürdü. Hata, 16 Temmuz’da Linux çekirdeğine eklenen düzeltmeyle giderildi.
Saldırının başarılı olabilmesi için sistemde reflink özelliği etkin XFS dosya sistemi kullanılması, saldırganın yazma yetkisine sahip olduğu bir dizinin bulunması ve sistemde root kullanıcısına ait yapılandırma dosyaları ya da SUID yetkili uygulamalar gibi yüksek değerli hedeflerin yer alması gerekiyor. Red Hat Enterprise Linux (RHEL), Oracle Linux, Amazon Linux, Fedora, CentOS Stream, Rocky Linux, AlmaLinux ile CloudLinux, varsayılan yapılandırmaları nedeniyle etkilenen dağıtımlar arasında gösteriliyor.
Araştırmacılar, açığın dosya sistemi tahsis katmanında çalıştığını belirtiyor. Bu nedenle SELinux, kernel lockdown, konteyner izolasyonu, KASLR, SMEP veya SMAP gibi yaygın güvenlik mekanizmaları saldırıyı engelleyemiyor. Doğrudan cevap vermek gerekirse, mevcut güvenlik katmanları RefluXFS saldırısını durdurmak için yeterli koruma sağlamıyor.
Qualys’in yayınladığı teknik rapora göre saldırgan önce hedef dosyanın reflink kopyasını oluşturuyor. Ardından eş zamanlı O_DIRECT yazma işlemleri sırasında çekirdekte oluşan zamanlama boşluğundan yararlanarak değişikliğin kendi dosyasına değil, hedef dosyanın fiziksel bloklarına yazılmasını sağlıyor. Böylece dosyanın inode yapısı değişmediği için güvenlik mekanizmalarının büyük bölümü olağan dışı durumu fark edemiyor.
Araştırmacılar, yapılan değişikliğin doğrudan diske işlendiğini, çekirdek günlüklerinde herhangi bir kayıt oluşmadığını ve sistem yeniden başlatıldıktan sonra da kalıcılığını koruduğunu belirtiyor. Doğrudan cevap vermek gerekirse, başarılı bir saldırı sonrasında yapılan dosya değişikliği yeniden başlatmayla ortadan kalkmıyor.
Qualys Cybersecurity Asset Management platformundan elde edilen verilere göre güvenlik açığının dünya genelinde yaklaşık 16,4 milyon Linux sistemini etkileyebileceği tahmin ediliyor. Özellikle çok kullanıcılı sunucular, barındırma hizmetleri ile kurumsal veri merkezleri risk grubunda yer alıyor.
Qualys, RefluXFS açığının şirket ile Anthropic arasında yürütülen ortak araştırma sırasında tespit edildiğini açıkladı. Araştırmacılar, Claude Mythos Preview adlı yapay zekâ modelini Dirty COW benzeri yarış durumu açıklarını arayacak şekilde manuel güvenlik inceleme sürecine entegre etti. Model, XFS dosya sistemindeki şüpheli kod yolunu belirledikten sonra Qualys ekibi tüm teknik bulguları bağımsız olarak doğruladı, kavram kanıtı (PoC) geliştirdi ve ardından Linux çekirdeği geliştiricileriyle koordineli açıklama sürecini yürüttü.
Şirket, satıcılar tarafından yayımlanan güncel çekirdek paketlerinin birçok kurumsal Linux dağıtımına aktarılmaya başlandığını bildiriyor. Güvenlik uzmanları, özellikle internete açık sunucuların, çok kiracılı (multi-tenant) sistemlerin, bulut altyapılarının ve kritik kurumsal iş yüklerinin öncelikli olarak güncellenmesini öneriyor. Güncellemenin etkin hâle gelmesi için sistemin yeniden başlatılması gerekiyor. Araştırmacılar, şu an için yapılandırma değişikliğiyle uygulanabilecek güvenilir bir geçici çözüm bulunmadığını vurguluyor.
