El error conocido como RefluXFS, registrado como CVE-2026-64600 en el kernel de Linux, afecta sistemas con la función reflink activa en el sistema de archivos XFS y con kernel de Linux 4.11 o superior. Este fallo permite a un usuario no autorizado modificar directamente archivos en el disco si tiene acceso a un directorio escribible y un archivo de configuración o binario SUID-root propiedad del root. Al ser un fallo a nivel del sistema de archivos que opera por debajo de capas de seguridad como SELinux, KASLR y SMEP, estas protecciones resultan ineficaces.
El ataque se lleva a cabo clonando una copia del archivo objetivo en un archivo propiedad del atacante y realizando operaciones de escritura simultáneas sobre este clon. Una brecha de bloqueo en el camino de copia-escritura del kernel permite que la operación de escritura alcance el bloque físico del archivo original. Este cambio persiste tras el reinicio del sistema y, al no modificar el inode del archivo objetivo, se conserva el bit SUID.
Qualys confirmó que esta vulnerabilidad ha existido en el kernel desde 2017 y fue corregida en julio de 2024. Entre las distribuciones afectadas se encuentran Red Hat, Oracle Linux, Amazon Linux, Fedora, CentOS Stream, Rocky Linux y AlmaLinux. Se estima que más de 16,4 millones de sistemas podrían verse afectados. Qualys realizó este descubrimiento junto con el modelo de inteligencia artificial Claude Mythos Preview y verificó independientemente la evidencia generada por el modelo.