Tóm tắt tổng quan
SELinux ở chế độ Enforcing. KASLR, SMEP, SMAP đều bật. Container chạy với capability bị giới hạn chặt. Không cái nào trong số đó ngăn được RefluXFS (CVE-2026-64600), vì lỗ hổng này không chạm vào bất kỳ lớp bảo vệ nào ở trên. Nó nằm ở tầng cấp phát block của filesystem XFS, thấp hơn hẳn nơi mọi cơ chế hardening kể trên hoạt động.
Đây là race condition tồn tại trong kernel Linux từ tháng 02/2017, được Qualys Threat Research Unit phát hiện và công bố ngày 22/07/2026. Bất kỳ user thường nào có quyền viết vào một thư mục trên filesystem XFS có bật reflink, mặc định trên RHEL 8 trở lên và các distro cùng dòng (Rocky, AlmaLinux, Oracle Linux, CloudLinux, CentOS Stream, Amazon Linux 2023), có thể ghi đè trực tiếp nội dung của /etc/passwd hoặc một binary SUID-root như /usr/bin/su để lấy quyền root. Qualys ước tính hơn 16,4 triệu hệ thống bị ảnh hưởng dựa trên dữ liệu từ nền tảng Cybersecurity Asset Management của họ.
Rủi ro kinh doanh cụ thể nhất nằm ở môi trường multi-tenant: mọi hosting chia sẻ, CI/CD runner dùng chung, hay hệ thống cho phép nhiều người dùng SSH vào cùng một máy đều đã thỏa điều kiện tiên quyết "user thường có quyền viết vào một thư mục". Khai thác thành công không để lại log kernel, không đổi permission hay timestamp của file bị ghi đè, và thay đổi vẫn còn sau khi reboot.
Bản vá đã có (commit 2f4acd0, merge vào mainline 16/07/2026) và đang được backport cho các distro enterprise. Hiện chưa có workaround nào hoạt động đáng tin cậy ngoài patch và reboot. Hành động ưu tiên ngay: rà soát toàn bộ hệ thống dùng XFS với reflink=1, ưu tiên patch máy multi-tenant và máy có internet-facing service chạy với quyền thấp.
Thông tin vulnerability
| Thuộc tính |
Chi tiết |
| CVE |
CVE-2026-64600 |
| CVSS Score |
7.8 HIGH (theo Red Hat) |
| CVSS Vector |
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| CWE |
CWE-362 (Concurrent Execution using Shared Resource with Improper Synchronization) |
| Component bị ảnh hưởng |
Linux kernel, đường dẫn copy-on-write của XFS filesystem driver khi reflink được bật |
| Phiên bản bị ảnh hưởng |
Mọi kernel mainline và stable từ v4.11 (02/2017) đến trước bản vá |
| Phiên bản đã vá |
Commit 2f4acd0, merge mainline ngày 16/07/2026; đã backport cho các nhánh kernel enterprise |
| Patch date |
2026-07-16 (mainline) / 2026-07-22 (coordinated release cho distro) |
| CISA KEV added |
Chưa có tại thời điểm xuất bản bài này |
| Exploit in wild |
Chưa xác nhận |
| PoC status |
Qualys đã dựng PoC nội bộ, công khai video demo trên RHEL 10.2, chưa công khai exploit code |
| Attack Vector |
Local |
| Privileges Required |
Low (user thường, không cần đặc quyền) |
| User Interaction |
None |
| Discoverer |
Qualys Threat Research Unit (dẫn đầu bởi Saeed Abbasi) |
| Disclosure date |
2026-07-07 (báo cho XFS maintainer) |
| Public date |
2026-07-22 |
Timeline sự kiện
| Thời điểm |
Sự kiện |
| 02/2017 |
Commit 3c68d44a2b49 đưa logic cấp block copy-on-write qua đường dẫn direct I/O vào kernel 4.11, tạo ra race condition mà không ai nhận ra |
| 2017 đến đầu 2026 |
Lỗi tồn tại xuyên suốt mọi kernel mainline và stable tiếp theo, không có CVE, không báo cáo nào |
| Đầu 2026 |
Qualys TRU tích hợp model Claude Mythos Preview của Anthropic vào workflow audit thủ công, giao nhiệm vụ săn race condition kiểu Dirty COW trong mã quản lý bộ nhớ và filesystem |
| 07/07/2026 |
Qualys báo cáo lỗ hổng kèm PoC cho XFS maintainer |
| 14/07/2026 |
Patch được commit vào development tree |
| 15/07/2026 |
Advisory được chia sẻ với linux-distros mailing list để các distro chuẩn bị bản vá đồng thời |
| 16/07/2026 |
Commit 2f4acd0 merge vào mainline, CVE-2026-64600 được gán |
| 22/07/2026, 16:00 UTC |
Coordinated public disclosure, Qualys công bố blog kèm video PoC trên RHEL 10.2 |
| 23/07/2026 |
BleepingComputer và các cơ quan báo chí an ninh mạng khác đưa tin rộng |
Tại sao lỗ hổng này tồn tại 9 năm mà không ai biết
Reflink là tính năng copy-on-write clone của XFS, cho phép tạo một file mới trỏ tới cùng dữ liệu vật lý với file gốc mà không cần copy thật, giống hệt cách cp --reflink hoạt động. Dữ liệu chỉ thực sự được tách ra (copy-on-write) khi một trong hai bên ghi đè. Đây là tính năng hiệu năng, được thiết kế để tiết kiệm không gian đĩa và tăng tốc snapshot, không phải tính năng bảo mật, và chính vì vậy phần lớn công sức fuzzing và audit bảo mật trước đây không nhắm vào nó.
Race condition nằm đúng ở khoảnh khắc kernel phải tạm nhả lock trong khi cấp block mới cho quá trình CoW. Đây là kiểu lỗi rất khó phát hiện bằng fuzzing truyền thống, vì nó không crash, không throw exception, và chỉ lộ ra khi hai thao tác ghi cùng chạm vào đúng một cửa sổ thời gian rất ngắn. Static analysis cũng khó bắt được, vì từng đoạn code riêng lẻ đều đúng logic, vấn đề chỉ xuất hiện khi ghép hai luồng thực thi lại với nhau.
Điểm đáng chú ý là đây không phải lỗ hổng đầu tiên thuộc dạng này bị công bố trong năm 2026. BleepingComputer liệt kê RefluXFS là lỗ hổng leo thang đặc quyền Linux mới nhất trong một loạt được công bố từ đầu năm, cùng với CIFSwitch (CVE-2026-46243), PinTheft (CVE-2026-43494), Dirty Frag và Fragnesia (CVE-2026-43284, CVE-2026-43500, CVE-2026-46300), Pack2TheRoot, và DirtyDecrypt (CVE-2026-31635). Một phần trong số này cũng là bug tồn tại nhiều năm, CIFSwitch được mô tả là 19 năm tuổi theo CIFSwitch: 19-Year-Old Linux Kernel Privilege Escalation Affects Multiple Distributions. Mật độ công bố này không phải trùng hợp ngẫu nhiên, phần dưới bài sẽ quay lại điểm này.
Cơ chế kỹ thuật
Root cause
Theo advisory kỹ thuật đầy đủ mà Qualys công bố, bug nằm trong tương tác giữa bốn hàm: xfs_direct_write_iomap_begin() đọc extent map của data fork dưới ILOCK, xfs_reflink_allocate_cow() quản lý việc cấp block CoW, xfs_reflink_fill_cow_hole() nhả ILOCK để xin không gian transaction, và xfs_find_trim_cow_extent() kiểm tra lại tình trạng chia sẻ của block.
Vấn đề xảy ra chính ở bước nhả lock. Khi xfs_reflink_fill_cow_hole() cần cấp transaction log space, nó tạm nhả ILOCK. Đây là khoảng hở duy nhất nhưng đủ dùng.
Trigger condition
Kịch bản Qualys mô tả gồm hai luồng ghi cùng target một file đã được reflink-clone:
Luồng A đọc extent map của block dùng chung, sau đó nhả ILOCK để chờ cấp transaction. Trong lúc đó, luồng B hoàn tất toàn bộ chu trình CoW của nó: được cấp một block mới, ghi dữ liệu vào đó, remap file của mình sang block mới, và giảm reference count của block gốc xuống còn một. Khi luồng A lấy lại ILOCK, nó kiểm tra lại reference count nhưng dựa trên physical block address đã lấy từ trước khi nhả lock. Vì luồng B vừa giảm reference count xuống một, luồng A hiểu nhầm rằng block này giờ không còn được chia sẻ, tức là an toàn để ghi trực tiếp. Nó submit một write O_DIRECT thẳng vào block đó.
Điểm khiến bug nguy hiểm là O_DIRECT đi vòng qua page cache của kernel, tức là không có bước revalidate nào chạy lại trước khi dữ liệu chạm đĩa. Write của luồng A không rơi vào bản sao riêng của nó, mà rơi thẳng vào physical block đang backing file gốc.
Impact
Chuyển thành ngôn ngữ khai thác, Qualys mô tả tấn công gồm việc attacker reflink-clone một file mục tiêu có giá trị cao, ví dụ /etc/passwd hoặc một binary SUID-root như /usr/bin/su, vào một file riêng mà họ làm chủ, rồi tạo race giữa các write O_DIRECT đồng thời trên chính file riêng đó. Khi trúng đúng cửa sổ thời gian, một trong các write đó đáp xuống physical block của file gốc thay vì bản sao của attacker.
Hệ quả thực tế có ba đặc điểm khiến lỗ hổng này khác biệt so với privilege escalation thông thường. Thứ nhất, thay đổi không đi qua write path bình thường của file gốc, nên inode, owner, permission, và timestamp của file gốc giữ nguyên. Một binary SUID-root bị ghi đè nội dung vẫn còn bit SUID, vẫn còn đúng owner root, chỉ có phần code hoặc logic bên trong đã đổi. Thứ hai, không có entry log kernel nào được tạo trong toàn bộ quá trình. Thứ ba, thay đổi nằm ở tầng block vật lý nên vẫn còn sau khi reboot, không phải kiểu compromise chỉ tồn tại trong RAM và mất khi restart.
Qualys chưa công khai exploit code, chỉ công bố video demo cho thấy quá trình từ user thường đến root hoàn tất trong vài giây trên RHEL 10.2 mặc định. Vì vậy phần trên là mô tả cơ chế theo advisory gốc, không phải PoC được dựng lại từ suy đoán.
Một chi tiết đáng chú ý: người tìm ra lỗ hổng này không hoàn toàn là con người
Saeed Abbasi, người đứng đầu Qualys TRU, cho biết phát hiện này bắt nguồn từ một sáng kiến nghiên cứu giữa Qualys và Anthropic, trong đó nhóm tích hợp model Claude Mythos Preview vào workflow audit thủ công của họ. Nhiệm vụ giao cho model rất cụ thể: săn tìm race condition kiểu Dirty COW trong mã quản lý bộ nhớ và filesystem của kernel. Sau vài vòng điều chỉnh hướng tìm kiếm, model xác định được race condition trong XFS và tự tạo một PoC local privilege escalation hoạt động được, kèm bản draft advisory.
Phần quan trọng không nằm ở việc model tìm ra bug, mà ở việc Qualys làm gì sau đó. Theo mô tả của họ, các researcher đã review lại toàn bộ lý luận của model, tự tay reproduce exploit một cách độc lập, kiểm chứng từng claim kỹ thuật, sửa lại advisory dựa trên kết quả test của chính họ, rồi mới phối hợp disclosure với kernel maintainer. Abbasi tóm gọn quan điểm của nhóm: "Capable models have been broadly available for some time; direction, not capability, was the constraint" (năng lực của model đã có sẵn từ lâu, thứ còn thiếu là hướng đi đúng chứ không phải khả năng).
Đáng để đọc kỹ câu đó, vì nó ngụ ý một điều lớn hơn phạm vi một CVE: rào cản để tìm ra một lớp bug đã tồn tại 9 năm trong code path mà hàng nghìn kỹ sư kernel đã đọc qua, không còn nằm ở việc có công cụ đủ mạnh hay không, mà nằm ở việc biết chính xác nên chỉ công cụ đó vào đâu.
Exploitation in the wild
Tại thời điểm bài viết này được xuất bản, chưa có ghi nhận nào về việc CVE-2026-64600 bị khai thác ngoài môi trường nghiên cứu của Qualys. Đây là trường hợp coordinated disclosure đúng nghĩa: lỗ hổng được báo riêng cho maintainer, patch đã merge, và bản vá cho các distro chính đã sẵn sàng trước hoặc cùng lúc công bố công khai.
Điều này không đồng nghĩa với an toàn. PoC đã được chứng minh hoạt động, chi tiết kỹ thuật đủ để một nhóm có kinh nghiệm kernel tái tạo lại trong thời gian ngắn, và khoảng thời gian giữa disclosure và khi exploit đầu tiên xuất hiện trong thực tế cho các lỗ hổng LPE dạng này thường tính bằng ngày, không phải thánăng.
MITRE ATT&CK Mapping
| Tactic |
Technique ID |
Technique Name |
Triển khai |
| Privilege Escalation |
T1068 |
Exploitation for Privilege Escalation |
Khai thác race condition CVE-2026-64600 trong đường dẫn CoW của XFS để từ user thường ghi đè /etc/passwd hoặc binary SUID-root, đạt quyền root mà không cần credential hay social engineering |
| Defense Evasion |
T1565.001 |
Data Manipulation: Stored Data Manipulation |
Ghi đè nội dung file ở tầng block vật lý trong khi giữ nguyên inode, owner, permission, và timestamp của file gốc, khiến các lệnh kiểm tra thông thường như ls -la hay stat không thấy bất thường |
| Defense Evasion |
T1070 |
Indicator Removal |
Toàn bộ quá trình khai thác không tạo entry log kernel nào, loại bỏ nguồn log-based detection phổ biến nhất cho hoạt động bất thường ở tầng filesystem |
| Persistence |
T1098 |
Account Manipulation |
Nếu target là /etc/passwd hoặc /etc/shadow, attacker có thể xoá password hash của root hoặc chèn tài khoản UID 0 mới, thay đổi tồn tại qua reboot vì đã ghi thẳng xuống block vật lý |
Detection
1. Log-based detection
Cần nói rõ ngay: không có signal log-based đáng tin cậy cho chính hành vi khai thác, vì bản chất bug là write đáp xuống block vật lý mà không đi qua write path bình thường của file gốc. Một audit rule cổ điển kiểu auditctl -w /etc/passwd -p wa -k passwd_changes sẽ không bắt được RefluXFS, vì syscall write không bao giờ target /etc/passwd theo path, nó target file scratch riêng của attacker. Đây chính là lý do path-based auditing thất bại với cả lớp lỗ hổng này, không riêng CVE này.
2. Network-based detection
Không áp dụng. Đây là lỗ hổng local, không có network indicator nào để tìm.
3. Host-based detection
Kiểm tra điều kiện tiên quyết trước tiên, đây là bước rẻ nhất và nên chạy trên toàn fleet ngay hôm nay:
# Platform: Host / bash
# Signal: filesystem XFS có bật reflink, điều kiện bắt buộc để bị ảnh hưởng
# False positive rate: không có, đây là kiểm tra cấu hình chính xác
xfs_info / | grep -i reflink
# Kết quả "reflink=1" nghĩa là hệ thống thỏa điều kiện tiên quyết
Kiểm tra version kernel đang chạy so với bản đã vá của distro:
# RHEL / CentOS Stream / Rocky / AlmaLinux / Oracle Linux
uname -r
rpm -q --changelog kernel | grep -i "CVE-2026-64600"
Với các host đã thỏa điều kiện tiên quyết, dùng integrity verification làm tín hiệu đáng tin cậy nhất, vì đây là detection dựa trên nội dung file thay đổi mà metadata không đổi, đúng dấu vết mà RefluXFS để lại:
# Platform: Host / RPM-based distro
# Signal: nội dung file thay đổi nhưng metadata (mode, size, thời gian) không đổi
# False positive rate: thấp, nhưng cần baseline package database còn nguyên vẹn
rpm -V shadow-utils sudo util-linux polkit coreutils
# Đọc kết quả: cột đầu tiên chứa "5" là digest (content) mismatch.
# Nếu "5" xuất hiện NHƯNG cột mode/size/time vẫn là dấu chấm (không đổi),
# đây là dấu hiệu rất mạnh của việc ghi đè ở tầng block, không phải
# thay đổi qua write path thông thường.
Trên hệ thống không dùng RPM, hoặc muốn có baseline độc lập với package manager, dùng AIDE hoặc Tripwire với database đã tạo trước khi có nghi ngờ compromise, so sánh hash nội dung theo lịch định kỳ.
4. Behavioral detection
Theo dõi các dấu hiệu hậu khai thác cụ thể trên các file giá trị cao: /etc/passwd, /etc/shadow, /etc/sudoers, /usr/bin/su, /usr/bin/sudo, /usr/bin/passwd, /usr/bin/pkexec.
# Platform: Host / bash
# Signal: tài khoản root không còn password hash hợp lệ, hoặc tài khoản UID 0 mới xuất hiện
# False positive rate: thấp trong môi trường production đã baseline
awk -F: '$3 == 0 {print $1, $2}' /etc/passwd
# Root hợp lệ: field password ("$2") phải là "x" (trỏ sang /etc/shadow).
# Bất kỳ dòng UID 0 khác ngoài "root", hoặc field password trống/lạ, đều
# cần điều tra ngay.
# So sánh hash SHA-256 hiện tại của binary SUID-root với baseline đã lưu
for bin in /usr/bin/su /usr/bin/sudo /usr/bin/passwd /usr/bin/pkexec; do
sha256sum "$bin"
done
# Đối chiếu với hash trong package database (rpm -q --dump) hoặc baseline
# đã snapshot trước đó.
Mitigation và Patch
Patch (ưu tiên nhất):
# RHEL 8.10 / CentOS Stream 8 / Rocky 8 / AlmaLinux 8 / Oracle Linux 8
dnf update kernel # kernel đích: 4.18.0-553.144.1.el8_10 hoặc mới hơn
reboot
# RHEL 9.8 / CentOS Stream 9 / Rocky 9 / AlmaLinux 9 / Oracle Linux 9
dnf update kernel # kernel đích: 5.14.0-687.26.1.el9_8 hoặc mới hơn
reboot
# RHEL 10.2 / Rocky 10 / AlmaLinux 10 / Oracle Linux 10
dnf update kernel # kernel đích: 6.12.0-211.34.1.el10_2 hoặc mới hơn
reboot
[SINGLE SOURCE: TuxCare] Các con số version kernel đích trên được tổng hợp từ phân tích của TuxCare, chưa đối chiếu trực tiếp với từng RHSA gốc của Red Hat. Trước khi đưa vào script triển khai hàng loạt, hãy xác nhận lại version chính xác qua rpm -q --changelog kernel trên hệ thống của bạn hoặc qua advisory chính thức tương ứng (RHSA-2026:41229 và các RHSA liên quan) của distro đang dùng.
Reboot là bước bắt buộc, không phải tùy chọn. Kernel đang chạy trong RAM không tự vá chỉ vì package đã cập nhật trên đĩa, và vì thay đổi do RefluXFS gây ra tồn tại qua reboot, việc trì hoãn reboot không giảm được rủi ro tương ứng.
Với hệ thống không thể chấp nhận downtime cho reboot, một số vendor cung cấp live-patching (rebootless kernel patching) có thể áp fix vào kernel đang chạy mà không cần bảo trì. Đây là lựa chọn hợp lý cho hệ thống cực kỳ nhạy về uptime, miễn là vendor đó đã có bản live-patch cho đúng CVE này.
Workaround (khi chưa patch được ngay):
Đây là điểm cần nêu rõ một mâu thuẫn giữa các nguồn. Chính Qualys, đơn vị phát hiện lỗ hổng, phát biểu thẳng rằng: "Đây không phải lỗ hổng có thể harden xung quanh, isolate, hay live-patch [theo nghĩa cấu hình]. SELinux, container boundary, memory protection, và cả active threat monitoring đều không đủ vì lỗ hổng hoạt động ở tầng cấp phát filesystem, dưới mọi lớp bảo vệ truyền thống." Theo Qualys, không có workaround cấu hình nào đáng tin cậy, chỉ có patch.
Trong khi đó, theo phân tích của RefluXFS (CVE-2026-64600) XFS Root Flaw on RHEL Explained, Red Hat có cung cấp một mitigation tạm thời dựa trên SystemTap, chặn các thao tác reflink và buộc chúng trả lỗi "unsupported operation". TuxCare cũng nêu rõ hạn chế đi kèm: cách này cần cân nhắc kỹ với hệ thống bật Secure Boot (SystemTap load module vào kernel), không persist qua reboot nên phải áp lại mỗi lần khởi động lại, và cần test kỹ trong môi trường staging trước khi đưa vào production vì nó chặn hoàn toàn tính năng reflink, có thể ảnh hưởng đến ứng dụng đang dùng cp --reflink hoặc snapshot dựa trên CoW.
Đọc hai nguồn cùng nhau, cách hiểu hợp lý nhất là: không có cách nào giữ nguyên toàn bộ tính năng CoW của XFS mà vẫn chặn được RefluXFS ngoài patch kernel. SystemTap mitigation là biện pháp chặn tạm bằng cách tắt hẳn tính năng reflink, không phải một cách "vá an toàn" tính năng đó, và nên được xem là cầu nối ngắn hạn cho hệ thống chưa reboot được ngay, không phải giải pháp lâu dài.
Bảng tổng hợp mitigation:
| Biện pháp |
Hiệu quả |
Hạn chế |
Thực hiện |
| Patch kernel + reboot |
Hoàn toàn |
Cần downtime hoặc bảo trì |
dnf update kernel && reboot |
| Live-patch (rebootless) |
Hoàn toàn, không downtime |
Phụ thuộc vendor đã phát hành bản live-patch cho CVE này |
Theo hướng dẫn của vendor live-patching đang dùng |
| SystemTap disable reflink (Red Hat) |
Chặn được vector khai thác |
Tắt hoàn toàn tính năng reflink, không persist qua reboot, cần cân nhắc với Secure Boot |
Theo advisory tạm thời của Red Hat, test kỹ trước khi áp production |
| Không patch, không mitigation |
Không hiệu quả |
Hệ thống vẫn khai thác được trong vài giây theo demo của Qualys |
Không khuyến nghị |
Nhận định
CVSS 7.8 không phải điểm "critical" theo thang thông thường, và điều đó dễ khiến lỗ hổng này bị xếp sau hàng chờ patch so với các CVE 9.x đang cạnh tranh sự chú ý cùng thời điểm. Đọc con số một mình sẽ đánh giá thấp rủi ro thực tế, vì AV:L và PR:L trong CVSS phản ánh đúng một điều kiện kỹ thuật (attacker cần một shell user thường), nhưng không phản ánh việc điều kiện đó rẻ đến mức nào trong rất nhiều môi trường thật. Shared hosting, CI/CD runner nhiều tenant, máy chủ trường học hay lab cho sinh viên SSH vào, tất cả đều phát sẵn chính xác thứ mà CVSS coi là "rào cản": một tài khoản không đặc quyền. Trong các môi trường đó, khoảng cách từ CVSS 7.8 đến "root toàn máy trong vài giây" gần như bằng không.
Bài học lớn hơn nằm ở danh sách những thứ Qualys nói rõ là không chặn được RefluXFS: SELinux Enforcing, kernel lockdown, KASLR, SMEP, SMAP, container capability limit, seccomp profile cho phép write và ioctl. Đây đều là những control mà nhiều tổ chức coi là "đã hardening rồi" và dùng để hạ mức ưu tiên patch của các lỗ hổng local. RefluXFS cho thấy rõ giới hạn của cách nghĩ đó: mọi control kể trên hoạt động ở tầng syscall interface hoặc tầng LSM, còn lỗ hổng này hoạt động ở tầng cấp phát block bên dưới, nơi các control đó không có quyền quan sát hay chặn. Đây không phải điểm yếu của riêng SELinux hay riêng container runtime, đó là một tầng phòng thủ hoàn toàn khác mà phần lớn threat model doanh nghiệp hiện tại không tính đến.
Cùng lúc, việc Red Hat xếp OpenShift Container Platform 4 vào mức Low severity cho chính CVE này là một điểm dữ liệu hữu ích để cân chỉnh phản ứng. Không phải vì CVE nhẹ hơn trên OpenShift, mà vì kiến trúc triển khai của OpenShift 4 loại bỏ chính điều kiện tiên quyết: không có unprivileged local user, filesystem cách ly, OS mount read-only. Bài học rút ra không phải "OpenShift an toàn hơn", mà là mức độ ưu tiên patch nên được quyết định theo kiến trúc triển khai cụ thể của từng hệ thống, không theo severity mặc định gắn với CVE.
Việc một model AI được giao nhiệm vụ cụ thể là "săn race condition kiểu Dirty COW" và tìm ra một bug 9 năm tuổi trong vài vòng lặp, sau khi hàng nghìn kỹ sư đã đọc qua chính đoạn code đó suốt gần một thập kỷ, là dấu hiệu của một sự thay đổi tốc độ, không phải một sự cố đơn lẻ. Mật độ công bố các lỗ hổng LPE Linux tồn tại lâu năm trong năm 2026, CIFSwitch 19 năm tuổi, PinTheft, Dirty Frag, Fragnesia, DirtyDecrypt, và giờ là RefluXFS 9 năm tuổi, gợi ý rằng việc mining lại code path cũ để tìm race condition đang trở thành hoạt động có hệ thống hơn, không còn phụ thuộc vào việc một researcher tình cờ nhìn đúng chỗ. Với đội blue team, điều cần thay đổi không phải là hoảng loạn, mà là kỳ vọng: tốc độ xuất hiện của lớp bug "cũ nhưng chưa ai từng tìm ra" nhiều khả năng sẽ tiếp tục tăng, và quy trình patch management cần rút ngắn thời gian phản ứng tương ứng, thay vì giả định các bug kernel cũ đã "đủ an toàn vì đã tồn tại lâu mà chưa ai khai thác".
Với tổ chức tại Việt Nam, mức độ liên quan cụ thể hơn nhìn thoáng qua. Dòng RHEL-compatible (CentOS Stream, Rocky Linux, AlmaLinux, Oracle Linux) là lựa chọn phổ biến bậc nhất cho hosting provider và doanh nghiệp trong nước nhờ chi phí thấp và tương thích ngược với CentOS cũ, và chính dòng này bật reflink=1 theo mặc định. Cộng thêm việc mô hình shared hosting, VPS multi-tenant, và hệ thống cho khách hàng SSH trực tiếp vào server vẫn rất phổ biến ở thị trường vừa và nhỏ, hai yếu tố này cộng lại tạo ra chính xác điều kiện tiên quyết mà RefluXFS cần. Đây là trường hợp một CVE điểm CVSS trung bình nhưng độ phù hợp với môi trường vận hành thực tế tại Việt Nam lại cao hơn nhiều CVE điểm cao hơn nhưng đòi hỏi điều kiện hiếm gặp.
Khuyến nghị
Immediate (0-24h):
Chạy kiểm tra điều kiện tiên quyết trên toàn bộ fleet, ưu tiên tuyệt đối cho máy multi-tenant (shared hosting, CI/CD runner, jump host nhiều người dùng):
# Quét nhanh: hệ thống nào dùng XFS với reflink bật
for mount in $(mount -t xfs | awk '{print $3}'); do
echo "=== $mount ==="
xfs_info "$mount" | grep -i reflink
done
Với mọi hệ thống trả về reflink=1, đối chiếu ngay version kernel đang chạy với bản đã vá của distro tương ứng (bảng ở phần Mitigation). Máy nào chưa patch và có nhiều user không đặc quyền, đưa lên đầu hàng chờ patch trong ngày, không đợi cycle bảo trì thường kỳ.
Với máy chưa patch được ngay trong 24h vì lý do vận hành, đánh giá phương án SystemTap tạm chặn reflink theo advisory của Red Hat như cầu nối ngắn hạn, sau khi đã test ở staging.
Short-term (1-7 ngày):
Đẩy bản kernel đã vá qua công cụ quản lý cấu hình (Ansible, Puppet, Foreman) cho toàn bộ fleet còn lại, theo thứ tự ưu tiên: internet-facing trước, multi-tenant tiếp theo, single-purpose nội bộ sau cùng.
Triển khai integrity baseline (AIDE hoặc tương đương) cho các file giá trị cao đã liệt kê ở phần Detection, nếu chưa có sẵn. Baseline cần được tạo trên hệ thống đã patch, không phải trên hệ thống nghi ngờ đã bị khai thác.
Nếu tổ chức vận hành hosting hoặc cung cấp VPS cho khách hàng thứ ba, thông báo chủ động về khung thời gian patch, vì đây là trường hợp mà rủi ro không nằm ở chính tổ chức mà ở khách hàng dùng chung hạ tầng.
Long-term:
Bổ sung "filesystem type + trạng thái reflink" vào tiêu chí thu thập của asset inventory / CMDB. Phần lớn công cụ quản lý tài sản hiện tại theo dõi OS version và kernel version, nhưng không theo dõi chi tiết cấu hình tầng storage, trong khi chính lớp bug này nằm ở đó.
Xem lại giả định "hardening ở tầng syscall/LSM là đủ" trong threat model nội bộ. RefluXFS là minh chứng cụ thể rằng cần bổ sung một tầng đánh giá rủi ro riêng cho filesystem và storage stack, tách biệt với đánh giá rủi ro ở tầng ứng dụng và tầng network.
Rút ngắn SLA patch cho các CVE local privilege escalation trong kernel, đặc biệt với hệ thống multi-tenant. Nhiều tổ chức vẫn áp SLA patch nhanh cho lỗ hổng remote nhưng chậm hơn cho lỗ hổng local, một giả định mà RefluXFS cho thấy không còn phù hợp khi điều kiện "user thường" quá dễ thỏa trong kiến trúc hạ tầng hiện tại.
Indicators of Compromise
# Version check
Vulnerable: Kernel mainline/stable v4.11 trở lên, chưa áp commit 2f4acd0
Patched: RHEL 8.10 >= 4.18.0-553.144.1.el8_10
RHEL 9.8 >= 5.14.0-687.26.1.el9_8
RHEL 10.2 >= 6.12.0-211.34.1.el10_2
(đối chiếu con số tương đương cho Rocky/AlmaLinux/Oracle Linux/CloudLinux)
# Host artifact — File cần giám sát integrity ưu tiên cao
/etc/passwd
/etc/shadow
/etc/sudoers
/usr/bin/su
/usr/bin/sudo
/usr/bin/passwd
/usr/bin/pkexec
# Behavioral IOC
rpm -V trả về "5" (digest mismatch) trên cột content NHƯNG mode/size/time không đổi
Tài khoản UID 0 mới xuất hiện trong /etc/passwd ngoài "root"
Root hoặc tài khoản đặc quyền mất password hash hợp lệ mà không có ticket thay đổi tương ứng
Binary SUID-root (su, sudo, passwd, pkexec) có hash nội dung khác baseline nhưng permission/owner/timestamp không đổi
# Network indicators
Không áp dụng — lỗ hổng khai thác hoàn toàn local, không có network IOC
# Log pattern
Không có — bản chất khai thác không tạo entry log kernel, đây là chính đặc điểm
của lỗ hổng, không phải hạn chế của công cụ giám sát
Nguồn tham khảo:
