นักวิจัยจาก Qualys Threat Research Unit (TRU) เปิดเผยช่องโหว่ใน Linux Kernel ที่ตั้งชื่อว่า RefluXFS (CVE-2026-64600) เมื่อวันที่ 22 กรกฎาคม 2026 ซึ่งเป็น Race Condition ในกลไก Copy-on-Write ของระบบไฟล์ XFS ทำให้ผู้ใช้งานทั่วไปที่มีบัญชี Local บนเครื่องสามารถยกระดับสิทธิ์เป็น Root ได้ แม้ระบบจะเปิดใช้งาน SELinux ในโหมด Enforcing ก็ตาม
Qualys ประเมินว่าช่องโหว่นี้อาจกระทบระบบมากกว่า 16.4 ล้านเครื่อง ทั่วโลก และที่น่ากังวลยิ่งขึ้นคือการโจมตีนี้ไม่ทิ้งร่องรอยใน Kernel Log ทำให้การตรวจจับด้วยวิธี Log-based แบบดั้งเดิมทำได้ยากมาก
กลไกของช่องโหว่
RefluXFS เกิดจาก Race Condition เมื่อมีการเขียนไฟล์แบบ O_DIRECT พร้อมกัน 2 ชุดไปยังไฟล์ที่ใช้ Reflink เดียวกัน:
- ระหว่างการเขียน Kernel จะปลด Inode Lock ชั่วคราวขณะรอพื้นที่ Transaction Log
- ในช่วงเวลาสั้นๆ นี้ การเขียนชุดที่สองสามารถทำ Remap Operation สำเร็จและเปลี่ยนสถานะการอ้างอิง (Reference State) ของ Block เดิมได้
- เมื่อการเขียนชุดแรกกลับมาทำงานต่อ ระบบจะเชื่อ Metadata ที่ล้าสมัยแล้ว และเขียนข้อมูลทับลงบน Block เดิมโดยตรง แทนที่จะเขียนลงสำเนาส่วนตัว (Private Copy) ตามที่ควรจะเป็น
ผลลัพธ์คือผู้โจมตีที่มีสิทธิ์ Local Account ธรรมดาสามารถเขียนทับไฟล์ระบบที่มีการป้องกันไว้ และยกระดับสิทธิ์เป็น Root ได้สำเร็จ
ระบบและเงื่อนไขที่ได้รับผลกระทบ
ช่องโหว่นี้จะกระทบเมื่อเข้าเงื่อนไขครบทั้ง 3 ข้อ:
- Kernel เวอร์ชัน 4.11 ขึ้นไป ที่ยังไม่ได้รับการแพตช์
- ใช้งานระบบไฟล์ XFS และเปิดใช้งาน reflink=1
- ผู้โจมตีมีพื้นที่เขียนได้ (Writable Location) บนระบบไฟล์เดียวกับเป้าหมายที่มีมูลค่าสูง
แพลตฟอร์มที่ได้รับผลกระทบหลักได้แก่ RHEL, Oracle Linux, Amazon Linux และ Fedora Server ซึ่งเป็นระบบปฏิบัติการที่ใช้งานอย่างแพร่หลายในสภาพแวดล้อม Server และ Cloud
ผลกระทบที่อาจเกิดขึ้น
- ยกระดับสิทธิ์เป็น Root ได้จากบัญชีผู้ใช้งานทั่วไป เปิดทางให้ควบคุมเครื่องได้อย่างสมบูรณ์
- หลบเลี่ยงมาตรการป้องกันระดับ Kernel ได้ แม้เปิดใช้งาน SELinux Enforcing Mode ซึ่งปกติเป็นมาตรการป้องกันที่แข็งแกร่ง
- ติดตั้ง Backdoor หรือแก้ไขไฟล์ระบบสำคัญ หลังได้สิทธิ์ Root แล้ว
- ตรวจจับได้ยากเนื่องจากไม่ทิ้ง Log ใน Kernel ทำให้การสืบสวนเหตุการณ์ย้อนหลังทำได้ยาก
- ความเสี่ยงสูงในสภาพแวดล้อม Multi-tenant หรือ Shared Hosting ที่ผู้ใช้งานหลายรายมีสิทธิ์ Local Account บนเครื่องเดียวกัน
สิ่งที่องค์กรควรทำ
- อัปเดต Linux Kernel เป็นเวอร์ชันที่แก้ไขแล้วโดยเร็วที่สุด โดย Fix ได้ถูก Merge เข้า Linux Tree แล้วตั้งแต่วันที่ 16 กรกฎาคม 2026 และดิสโทรต่างๆ กำลังทยอย Backport
- ตรวจสอบเครื่องที่ใช้ XFS Filesystem และเปิด Reflink ว่ามีความจำเป็นต้องเปิดใช้งานฟีเจอร์นี้ต่อหรือไม่ หากไม่จำเป็นควรปิดไว้ก่อนจนกว่าจะแพตช์เสร็จ
- จำกัดการรันโค้ดจากผู้ใช้งานที่ไม่น่าเชื่อถือ บนเครื่องที่มีข้อมูลสำคัญหรือใช้งานร่วมกันหลายผู้ใช้
- ให้ความสำคัญเป็นพิเศษกับระบบ Multi-tenant หรือ Shared Hosting ที่มีความเสี่ยงสูงกว่าปกติจากช่องโหว่ประเภทนี้
แนวทางลดความเสี่ยงระยะยาว
1. ทำ Patch Management สำหรับ Linux Kernel อย่างสม่ำเสมอ
โดยเฉพาะระบบที่เปิดให้ผู้ใช้งานหลายรายเข้าถึง Local Account ได้ ควรมีรอบการอัปเดตที่รวดเร็วกว่าระบบทั่วไป
2. ใช้เครื่องมือตรวจจับพฤติกรรมผิดปกติระดับ Kernel (Runtime Security)
เนื่องจากช่องโหว่นี้ไม่ทิ้ง Log แบบดั้งเดิม การพึ่งพา Log-based Detection เพียงอย่างเดียวจึงไม่เพียงพอ ควรพิจารณาเครื่องมือที่ตรวจสอบพฤติกรรมระบบแบบ Real-time
3. จำกัดสิทธิ์ Local Account ให้เท่าที่จำเป็น
โดยเฉพาะในสภาพแวดล้อมที่มีผู้ใช้งานหลายรายหรือให้บริการ Hosting ร่วมกัน
4. ติดตามประกาศช่องโหว่จาก Qualys และผู้ดูแลดิสโทร Linux ที่ใช้งานอย่างสม่ำเสมอ
เพื่อจัดลำดับความสำคัญของการแพตช์ตามความเสี่ยงที่แท้จริง
วิเคราะห์ในมุมมองจาก TXEC
RefluXFS เป็นตัวอย่างของช่องโหว่ประเภท Race Condition ที่แม้จะซับซ้อนในการทำความเข้าใจ แต่ผลกระทบกลับรุนแรงถึงระดับ Root และสามารถหลบเลี่ยงมาตรการป้องกันอย่าง SELinux ที่หลายองค์กรเชื่อมั่นว่าเป็นเกราะป้องกันชั้นสุดท้ายได้
จุดที่ TXEC อยากเน้นย้ำเป็นพิเศษคือการที่ช่องโหว่นี้ไม่ทิ้งร่องรอยใน Kernel Log ทำให้องค์กรที่พึ่งพาการตรวจสอบ Log แบบดั้งเดิมเพียงอย่างเดียวอาจไม่สามารถตรวจพบการโจมตีได้เลย แม้จะถูกยกระดับสิทธิ์ไปแล้ว องค์กรที่ใช้งาน Linux Server จำนวนมาก โดยเฉพาะในสภาพแวดล้อม Cloud หรือ Shared Hosting ควรเร่งตรวจสอบและแพตช์ระบบที่ใช้ XFS Reflink โดยเร็วที่สุด
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: Qualys, SOC Prime, SecurityOnline, CloudLinux, Team Win ]