Uma vulnerabilidade crítica no XFS, o sistema de gerenciamento de arquivos do Linux, colocou em risco mais de 16 milhões de sistemas ao redor do mundo. Identificada como CVE-2026-64600 e apelidada de RefluXFS, a falha esteve oculta no kernel (o núcleo do sistema operacional) desde fevereiro de 2017 e permitiu que invasores locais obtivessem privilégios máximos de administrador (root). O problema foi descoberto pela equipe de segurança da Qualys em um projeto conjunto com ferramentas de inteligência artificial da Anthropic.
A brecha afetou diretamente distribuições que utilizam o XFS por padrão em servidores, como Red Hat Enterprise Linux (RHEL), Oracle Linux, Amazon Linux, Fedora, CentOS Stream, Rocky Linux, AlmaLinux e CloudLinux. Sistemas como Debian, Ubuntu e SUSE, embora não adotem o XFS nativamente, também ficaram expostos nos casos em que o sistema de arquivos foi escolhido de forma manual durante a instalação.
smart_display
Nossos vídeos em destaque
Como a vulnerabilidade atuou nos sistemas
A falha decorreu de uma condição de corrida (race condition) na camada de alocação do sistema de arquivos XFS, especificamente quando a função reflink esteve ativada. Trata-se de uma configuração padrão na maioria das distribuições voltadas para grandes infraestruturas.
Ao contrário de brechas comuns, a RefluXFS operou abaixo das camadas tradicionais de defesa. Módulos de segurança conhecidos, como SELinux, isolation containers e proteções de memória (KASLR, SMEP e SMAP), não bloquearam o ataque.
O invasor clonou um arquivo do sistema para um diretório próprio e manipulou gravações simultâneas na memória. O erro do kernel fez a alteração ser gravada diretamente no disco do arquivo original protegido (como o diretório /etc/passwd ou executáveis do sistema). A modificação permaneceu válida mesmo após a reinicialização da máquina e não gerou nenhum alerta nos relatórios de logs.
Descoberta via Inteligência Artificial
A identificação do erro contou com uma abordagem inédita. A equipe da Qualys Threat Research Unit trabalhou em parceria com a Anthropic para integrar o modelo de IA Claude Mythos Preview ao fluxo de auditoria manual de código.
A ferramenta recebeu a missão de procurar condições de corrida semelhantes à histórica vulnerabilidade Dirty COW. Após análises iterativas, a IA apontou o ponto exato da falha no XFS e gerou um modelo funcional de teste. Os pesquisadores revisaram a lógica, reproduziram a exploração e notificaram os mantenedores do Linux.
A descoberta faz parte da participação da empresa no Project Glasswing. Em comunicado oficial, o chefe de pesquisa de ameaças da Qualys, Saeed Abbasi, analisou o impacto do uso de inteligência artificial na segurança cibernética:
“A RefluXFS é menos sobre o que a IA pode fazer e mais sobre como ela é usada de forma responsável. A lição não é que a IA pode ser apontada para um software para gerar explorações, mas sim que a IA, combinada com o julgamento de especialistas, ajuda os defensores a encontrar e fechar falhas graves antes que sejam abusadas”, explicou.
Correção e recomendações
Os desenvolvedores do kernel lançaram a correção oficial em 16 de julho. No comunicado, Abbasi reforçou o alerta sobre a gravidade e a urgência da atualização nos servidores corporativos.
“Recomenda-se a correção imediata do kernel para neutralizar esta vulnerabilidade. A exploração tem sucesso consistente sob configurações padrão de proteção e a modificação no disco sobrevive à reinicialização do sistema. Os kernels corrigidos pelos fornecedores já estão disponíveis e sendo portados para distribuições corporativas. No momento, não há mitigações práticas ou alterações temporárias de configuração disponíveis” , pontuou o pesquisador.
A orientação oficial emitida pela Qualys e acompanhada pelas distribuições afetadas é que os administradores de sistemas apliquem imediatamente os pacotes de atualização e realizem a reinicialização obrigatória dos servidores para efetivar a proteção.
Por falar em novas descobertas em segurança digital, o vírus ACR Stealer também entrou no radar de grandes empresas de tecnologia. A Microsoft identificou um aumento expressivo nos ataques que utilizam este programa malicioso, que atua de forma silenciosa. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.
