Kerentanan Linux Beri Akses Root

Kerentanan Linux Beri Akses Root – Linux kembali menjadi sorotan setelah peneliti mengungkap kerentanan baru yang diberi nama RefluXFS.

Kerentanan ini terdaftar sebagai CVE-2026-64600 dan memungkinkan pengguna lokal dengan hak akses biasa (unprivileged user) meningkatkan hak akses menjadi root, bahkan pada sistem yang telah mengaktifkan Security-Enhanced Linux (SELinux) dalam mode Enforcing.

Yang membuat kerentanan ini mengkhawatirkan adalah kemampuannya untuk menimpa (overwrite) file sistem penting tanpa meninggalkan jejak pada log kernel.

Akibatnya, aktivitas penyerang menjadi jauh lebih sulit dideteksi dan perubahan yang dilakukan tetap bertahan meskipun sistem telah di-reboot.

Apa Itu RefluXFS?

RefluXFS merupakan kerentanan yang memanfaatkan race condition pada mekanisme copy-on-write (CoW) di sistem berkas (filesystem) XFS.

Dalam kondisi normal, ketika dua file berbagi blok data yang sama melalui fitur reflink, XFS akan membuat salinan blok baru sebelum perubahan dilakukan agar data asli tetap aman.

Namun, peneliti menemukan adanya celah ketika dua proses melakukan penulisan secara bersamaan menggunakan metode O_DIRECT pada file yang sama.

Pada saat tertentu, kernel Linux melepaskan penguncian (inode lock) untuk menunggu ruang transaksi tersedia. Celah waktu yang sangat singkat ini dapat dimanfaatkan proses lain untuk mengubah pemetaan file sebelum proses pertama selesai.

Akibatnya, kernel menggunakan referensi data yang sudah tidak valid (stale reference) dan menulis langsung ke blok penyimpanan yang seharusnya tetap terlindungi.

Karena metode O_DIRECT melewati page cache, perubahan tersebut langsung tersimpan ke media penyimpanan tanpa melalui proses validasi ulang.

Mengambil Alih Sistem

Menurut peneliti, kelemahan ini dapat dimanfaatkan pengguna lokal untuk menimpa berbagai file penting pada sistem yang menggunakan XFS dengan fitur reflink aktif.

Dalam demonstrasi (proof-of-concept), peneliti berhasil menghapus perlindungan password akun root pada instalasi standar Red Hat Enterprise Linux (RHEL) 10.2 hanya dalam hitungan detik. Setelah itu, sistem dapat diakses menggunakan akun root tanpa memerlukan password.

Lebih mengkhawatirkan lagi, perubahan tersebut tetap bertahan setelah komputer dihidupkan ulang dan tidak menghasilkan artefak pada log kernel yang dapat membantu proses investigasi.

Jutaan Sistem Berpotensi Terdampak

Peneliti memperkirakan bahwa kerentanan ini telah ada sejak Linux Kernel versi 4.11 yang dirilis pada tahun 2017.

Berdasarkan analisis, lebih dari 16 juta sistem di seluruh dunia berpotensi terdampak apabila memenuhi beberapa kondisi berikut:

• Menggunakan Linux Kernel versi 4.11 atau yang lebih baru tanpa pembaruan keamanan.
• Menggunakan filesystem XFS dengan fitur reflink=1.
• Memiliki direktori yang dapat ditulisi oleh pengguna biasa di lokasi yang sama dengan file sistem bernilai tinggi, seperti berkas SUID.

Distribusi Linux yang telah dikonfirmasi terdampak antara lain:

• Red Hat Enterprise Linux (RHEL) 8, 9, dan 10.
• CentOS Stream.
• Oracle Linux.
• Rocky Linux.
• AlmaLinux.
• CloudLinux.
• Amazon Linux.
• Fedora Server.

Sementara itu, distribusi seperti Ubuntu, Debian, dan SUSE memiliki tingkat risiko lebih rendah karena hanya terdampak apabila administrator secara manual memilih filesystem XFS dengan fitur reflink diaktifkan.

Tidak Ada Mitigasi Sementara yang Efektif

Salah satu alasan RefluXFS mendapat perhatian serius adalah karena kerentanan ini bekerja pada lapisan alokasi filesystem, bukan pada mekanisme memori yang selama ini menjadi fokus berbagai teknologi perlindungan Linux.

Berbagai fitur keamanan seperti:

• SELinux
• KASLR
• SMEP
• SMAP
• Kernel Lockdown
• Pembatasan user namespace
• Pembatasan Linux capabilities

tidak mampu mencegah eksploitasi kerentanan ini karena seluruh proses berlangsung pada jalur yang tidak disentuh oleh mekanisme perlindungan tersebut.

Dengan kata lain, hingga saat ini tidak terdapat solusi mitigasi sementara selain memasang pembaruan keamanan dari vendor.

AI Membantu Menemukan Kerentanan Ini

Menariknya, RefluXFS ditemukan melalui kolaborasi dalam sebuah proyek penelitian keamanan. Peneliti memanfaatkan model AI Claude Mythos Preview untuk membantu mencari pola kerentanan yang menyerupai eksploitasi terkenal seperti Dirty COW.

Setelah melalui beberapa proses analisis dan penyempurnaan (iterative prompting), model AI berhasil mengidentifikasi potensi kerentanan pada filesystem XFS sekaligus menghasilkan konsep eksploitasi awal.

Selanjutnya, seluruh temuan diverifikasi secara manual oleh tim peneliti, sebelum dilaporkan kepada pengembang kernel Linux.

Kasus ini menunjukkan bahwa AI kini tidak hanya dimanfaatkan oleh pelaku kejahatan siber, tetapi juga mulai berperan sebagai alat bantu bagi peneliti keamanan untuk menemukan kerentanan yang sebelumnya sulit dideteksi.

Segera Lakukan Pembaruan Sistem

Vendor Linux telah merilis pembaruan keamanan yang memperbaiki kerentanan ini dan mulai mendistribusikannya ke berbagai distribusi enterprise, termasuk RHEL, Oracle Linux, Rocky Linux, AlmaLinux, dan Fedora.

Karena tidak tersedia mitigasi sementara, organisasi disarankan segera memasang pembaruan keamanan dan melakukan rebhttps://cybersecuritynews.com/refluxfs-linux-kernel-vulnerability/oot agar kernel yang telah diperbarui benar-benar aktif digunakan.

Sistem yang dapat diakses banyak pengguna (multi-user) maupun server yang menghadap ke internet sebaiknya menjadi prioritas utama dalam proses pembaruan.

Mengatasi Risiko Eksploitasi RefluXFS

Organisasi maupun administrator sistem dapat melakukan beberapa langkah berikut untuk meminimalkan risiko.

1. Segera perbarui kernel Linux’

Update ke ke versi yang telah memperoleh patch keamanan. Ini merupakan langkah paling efektif karena hingga saat ini belum tersedia mitigasi lain.

2. Lakukan reboot setelah proses pembaruan selesai.

Kernel baru tidak akan digunakan sebelum sistem dihidupkan ulang.

3. Batasi akses pengguna biasa pada server.

Kerentanan ini memerlukan akses lokal sehingga pembatasan hak akses dapat mengurangi peluang eksploitasi.

4. Terapkan prinsip Least Privilege.

Pastikan setiap pengguna hanya memiliki hak akses sesuai kebutuhan pekerjaannya.

5. Audit penggunaan filesystem XFS.

Identifikasi server yang menggunakan XFS dengan fitur reflink aktif untuk menentukan prioritas pembaruan.

6. Pantau aktivitas pengguna lokal yang tidak biasa.

Meskipun eksploitasi tidak meninggalkan log kernel, aktivitas pengguna tetap dapat dipantau melalui solusi keamanan seperti EDR, SIEM, atau audit sistem.

7. Ikuti pembaruan keamanan dari vendor Linux.

Administrator perlu memantau buletin keamanan resmi agar dapat segera menerapkan patch ketika tersedia.

Kerentanan Kernel Semakin Kompleks

Temuan RefluXFS menambah daftar kerentanan kernel Linux yang muncul sepanjang tahun 2026 dan menunjukkan bahwa teknik eskalasi hak akses (privilege escalation) terus berkembang.

Alih-alih mengeksploitasi kesalahan konfigurasi atau aplikasi, penyerang kini memanfaatkan kelemahan pada mekanisme internal kernel dan filesystem yang jauh lebih sulit dideteksi.

Bagi organisasi, kondisi ini menjadi pengingat bahwa pembaruan kernel tidak boleh dianggap sebagai pekerjaan rutin semata, melainkan bagian penting dari strategi keamanan siber.

Mengingat tidak adanya mitigasi sementara untuk RefluXFS, penerapan patch keamanan sesegera mungkin menjadi langkah yang paling efektif untuk mencegah penyalahgunaan kerentanan dan melindungi sistem dari potensi pengambilalihan hak akses oleh pihak yang tidak berwenang.

Sumber berita: 

WeLiveSecurity