CVE-2026-64600として登録されたReflXFSという脆弱性は、XFSファイルシステムでreflink機能が有効で、Linuxカーネル4.11以降のシステムに影響を与える。攻撃者が書き込み可能なディレクトリとroot所有の設定ファイルまたはSUID-rootバイナリを保持している場合、この脆弱性により、ファイルをディスク上に直接変更できるようになる。この脆弱性はファイルシステムレベルの欠陥であり、SELinux、KASLR、SMEPなどのセキュリティ層を無効化する。

攻撃は、対象ファイルのコピーを攻撃者が所有するファイルにクローンし、そのクローンに対して並列書き込み操作を実行することで発動する。カーネルのコピー・オン・ライトパス内のロックの欠陥により、書き込み操作が元のファイルの物理ブロックに到達可能になる。この変更はシステム再起動後も永続し、対象ファイルのinodeを変更しないため、SUIDビットは保持される。

Qualysは、この脆弱性が2017年からカーネルに存在し、2024年7月に修正されたことを確認した。影響を受けるディストリビューションには、Red Hat、Oracle Linux、Amazon Linux、Fedora、CentOS Stream、Rocky Linux、AlmaLinuxが含まれる。この脆弱性は1640万台以上のシステムに影響を与える可能性があると推定されている。Qualysはこの発見をAIモデルClaude Mythos Previewと共同で行い、モデルが生成した証拠を独立して検証した。