Une nouvelle vulnérabilité critique touche le noyau Linux, cette fois via le système de fichiers XFS. Elle permet à n’importe quel utilisateur local, sans le moindre privilège, de prendre le contrôle total de la machine, sans laisser de trace.
Le 22 juillet 2026, les chercheurs de Qualys ont rendu publique RefluXFS, une faille repérée par Claude Mythos, le modèle d’Anthropic, qui a détecté un défaut jusqu’ici passé inaperçu. Cette vulnérabilité permet à un utilisateur local de modifier des fichiers système sensibles, y compris ceux gérant les mots de passe, sans que cette action ne soit enregistrée dans les journaux système.
Depuis quelques mois, des découvertes critiques s’enchaînent dans Linux, après des années sans faille majeure de ce type. Après les incidents notables tels que Copy Fail et CIFSwitch, c’est au tour de XFS d’être visé, un système de fichiers permettant à deux fichiers de partager temporairement les mêmes données sur le disque.
Comment fonctionne RefluXFS
La faille RefluXFS exploite un moment où deux écritures interviennent presque simultanément sur le même fichier. Le noyau, croyant pouvoir écrire directement sur les données d’origine, permet ainsi à un utilisateur sans privilège de réécrire des fichiers critiques. Cette modification persiste après un redémarrage.
Qui est concerné, et pourquoi les protections habituelles ne servent à rien
Cette vulnérabilité affecte tout système Linux récent utilisant XFS dans sa configuration par défaut, touchant potentiellement plus de 16 millions de machines, y compris RHEL, CentOS et Fedora. Les protections habituelles, telles que SELinux et l’isolation par conteneur, ne détectent pas cette attaque, car RefluXFS utilise le fonctionnement normal du système de fichiers.
Un correctif est d’ores et déjà disponible et intégré dans les principales distributions d’entreprise. Seule l’installation de cette mise à jour, suivie d’un redémarrage, peut refermer la faille. Aucune exploitation n’a été observée dans la nature jusqu’à présent.
Source : Qualys.
