ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามรายงานภัยคุกคามทางไซเบอร์ พบช่องโหว่ใน Linux Kernel หมายเลข CVE-2026-64600 หรือ RefluXFS ซึ่งเป็นช่องโหว่ยกระดับสิทธิ์ภายในระบบที่เกี่ยวข้องกับการทำงานของระบบไฟล์ XFS โดยผู้ใช้งานภายในระบบที่ไม่มีสิทธิ์สูง อาจใช้ประโยชน์จากช่องโหว่เพื่อเขียนทับไฟล์สำคัญของระบบ และยกระดับสิทธิ์เป็น root ได้ภายใต้เงื่อนไขที่กำหนด [1]
1. รายละเอียดช่องโหว่[2]
ช่องโหว่ CVE-2026-64600 เกิดจากข้อผิดพลาดแบบ race condition ในการทำงานของ XFS reflink และกระบวนการ copy-on-write ของ Linux Kernel ส่งผลให้ผู้ใช้ภายในระบบที่ไม่มีสิทธิ์สูง อาจเขียนทับข้อมูลของไฟล์สำคัญบนดิสก์ได้ หากระบบใช้งาน XFS ที่เปิดใช้ reflink=1 และไฟล์เป้าหมายอยู่บน filesystem เดียวกับพื้นที่ที่ผู้โจมตีสามารถเขียนไฟล์ได้
หากโจมตีสำเร็จ ผู้โจมตีอาจเขียนทับไฟล์สำคัญของระบบที่อยู่ภายใต้สิทธิ์ของ root หรือไฟล์ประเภท setuid-root เพื่อนำไปสู่การยกระดับสิทธิ์เป็น root โดยข้อมูลที่ถูกแก้ไขอาจยังคงอยู่หลังการ reboot และอาจไม่ปรากฏร่องรอยใน kernel log ตามที่นักวิจัยรายงาน
2. ระบบที่อาจได้รับผลกระทบ
2.1 ระบบ Linux ที่ใช้ Kernel 4.11 หรือใหม่กว่า และยังไม่ได้ติดตั้งแพตช์แก้ไขช่องโหว่ดังกล่าว
2.2 ระบบที่ใช้งาน XFS filesystem และเปิดใช้คุณสมบัติ reflink=1
2.3 ระบบที่มีไฟล์สำคัญของ root และพื้นที่ที่ผู้ใช้ทั่วไปสามารถเขียนไฟล์ได้อยู่บน XFS filesystem เดียวกัน
2.4 ระบบที่มีความเสี่ยงสูง เช่น Red Hat Enterprise Linux 8, 9 และ 10, ระบบที่พัฒนาต่อจาก RHEL, Fedora Server, Amazon Linux 2023 และ Amazon Linux 2 image ตั้งแต่เดือนธันวาคม 2022 เป็นต้นไป
2.5 ระบบ Debian, Ubuntu, SLES และ openSUSE โดยทั่วไปไม่ได้ใช้ XFS เป็นค่าเริ่มต้นสำหรับ root filesystem แต่อาจได้รับผลกระทบได้ หากผู้ดูแลระบบเลือกใช้งาน XFS พร้อมเปิดใช้ reflink=1
2.6 ระบบแบบ multi-tenant, shared server, CI/CD runner, build server, container host หรือระบบที่เปิดให้ผู้ใช้หรือบริการที่ไม่น่าเชื่อถือรันโค้ดภายในเครื่องได้
3. ผลกระทบที่อาจเกิดขึ้น
3.1 ผู้ใช้ภายในระบบที่ไม่มีสิทธิ์สูงอาจยกระดับสิทธิ์เป็น root ได้
3.2 ไฟล์สำคัญของระบบอาจถูกแก้ไขหรือเขียนทับโดยไม่ได้รับอนุญาต
3.3 การเปลี่ยนแปลงไฟล์อาจยังอยู่หลัง reboot และตรวจพบได้ยากจาก kernel log
3.4 หากเกิดกับ server สำคัญ ผู้โจมตีอาจใช้เป็นช่องทางในการคงสิทธิ์การเข้าถึง ขโมยข้อมูล หรือขยายผลไปยังระบบอื่นภายในองค์กร
4. แนวทางการป้องกันและลดความเสี่ยง
4.1 เร่งติดตั้ง kernel update หรือแพตช์จากผู้พัฒนา Linux distribution ที่ใช้งาน เช่น Red Hat, Oracle Linux, Amazon Linux, Fedora หรือ distribution ที่เกี่ยวข้อง
4.2 หลังติดตั้ง kernel update แล้ว ให้ reboot ระบบ เพื่อให้ระบบทำงานด้วย kernel เวอร์ชันที่ได้รับการแก้ไขแล้ว
4.3 ตรวจสอบระบบที่ใช้งาน XFS ว่าเปิดใช้คุณสมบัติ reflink=1 หรือไม่ โดยใช้คำสั่งที่เหมาะสม เช่น xfs_info และควรตรวจสอบทุก XFS filesystem ที่เกี่ยวข้อง โดยเฉพาะพื้นที่ที่มีไฟล์สำคัญของระบบอยู่ร่วมกับ directory ที่ผู้ใช้ทั่วไปสามารถเขียนไฟล์ได้
4.4 จัดลำดับความสำคัญในการอัปเดตระบบที่มีผู้ใช้หลายราย ระบบที่รันโค้ดจากผู้ใช้ ระบบ build/CI/CD และระบบที่มี workload จากแหล่งที่ไม่น่าเชื่อถือ
4.5 ตรวจสอบกิจกรรมผิดปกติที่เกี่ยวข้องกับบัญชีผู้ใช้ภายในระบบ การเปลี่ยนแปลงไฟล์สำคัญของระบบ และพฤติกรรมที่อาจบ่งชี้การยกระดับสิทธิ์
แหล่งอ้างอิง
[1] https://dg.th/eq2r54gdtc
[2] https://dg.th/epz0bkygvt