Falha de 9 anos no Linux permite acesso total a servidores e sistemas corporativos

Uma vulnerabilidade crítica no XFS, o sistema de gerenciamento de arquivos do Linux, colocou em risco mais de 16 milhões de sistemas ao redor do mundo. Identificada como CVE-2026-64600 e apelidada de RefluXFS, a falha esteve oculta no kernel (o núcleo do sistema operacional) desde fevereiro de 2017 e permitiu que invasores locais obtivessem privilégios máximos de administrador (root). O problema foi descoberto pela equipe de segurança da Qualys em um projeto conjunto com ferramentas de inteligência artificial da Anthropic. A brecha afetou diretamente distribuições que utilizam o XFS por padrão em servidores, como Red Hat Enterprise Linux (RHEL), Oracle Linux, Amazon Linux, Fedora, CentOS Stream, Rocky Linux, AlmaLinux e CloudLinux.

Sistemas como Debian, Ubuntu e SUSE, embora não adotem o XFS nativamente, também ficaram expostos nos casos em que o sistema de arquivos foi escolhido de forma manual durante a instalação. Como a vulnerabilidade atuou nos sistemasA falha decorreu de uma condição de corrida (race condition) na camada de alocação do sistema de arquivos XFS, especificamente quando a função reflink esteve ativada. Trata-se de uma configuração padrão na maioria das distribuições voltadas para grandes infraestruturas. Ao contrário de brechas comuns, a RefluXFS operou abaixo das camadas tradicionais de defesa. Módulos de segurança conhecidos, como SELinux, isolation containers e proteções de memória (KASLR, SMEP e SMAP), não bloquearam o ataque. O invasor clonou um arquivo do sistema para um diretório próprio e manipulou gravações simultâneas na memória.

O erro do kernel fez a alteração ser gravada diretamente no disco do arquivo original protegido (como o diretório /etc/passwd ou executáveis do sistema). A modificação permaneceu válida mesmo após a reinicialização da máquina e não gerou nenhum alerta nos relatórios de logs. Descoberta via Inteligência ArtificialA identificação do erro contou com uma abordagem inédita. A equipe da Qualys Threat Research Unit trabalhou em parceria com a Anthropic para integrar o modelo de IA Claude Mythos Preview ao fluxo de auditoria manual de código. A ferramenta recebeu a missão de procurar condições de corrida semelhantes à histórica vulnerabilidade Dirty COW.

Após análises iterativas, a IA apontou o ponto exato da falha no XFS e gerou um modelo funcional de teste. Os pesquisadores revisaram a lógica, reproduziram a exploração e notificaram os mantenedores do Linux. A descoberta faz parte da participação da empresa no Project Glasswing. Em comunicado oficial, o chefe de pesquisa de ameaças da Qualys, Saeed Abbasi, analisou o impacto do uso de inteligência artificial na segurança cibernética: “A RefluXFS é menos sobre o que a IA pode fazer e mais sobre como ela é usada de forma responsável.

A lição não é que a IA pode ser apontada para um software para gerar explorações, mas sim que a IA, combinada com o julgamento de especialistas, ajuda os defensores a encontrar e fechar falhas graves antes que sejam abusadas”, explicou. Correção e recomendaçõesOs desenvolvedores do kernel lançaram a correção oficial em 16 de julho. No comunicado, Abbasi reforçou o alerta sobre a gravidade e a urgência da atualização nos servidores corporativos. “Recomenda-se a correção imediata do kernel para neutralizar esta vulnerabilidade. A exploração tem sucesso consistente sob configurações padrão de proteção e a modificação no disco sobrevive à reinicialização do sistema.

Os kernels corrigidos pelos fornecedores já estão disponíveis e sendo portados para distribuições corporativas. No momento, não há mitigações práticas ou alterações temporárias de configuração disponíveis”, pontuou o pesquisador. A orientação oficial emitida pela Qualys e acompanhada pelas distribuições afetadas é que os administradores de sistemas apliquem imediatamente os pacotes de atualização e realizem a reinicialização obrigatória dos servidores para efetivar a proteção. Por falar em novas descobertas em segurança digital, o vírus ACR Stealer também entrou no radar de grandes empresas de tecnologia. A Microsoft identificou um aumento expressivo nos ataques que utilizam este programa malicioso, que atua de forma silenciosa.