Un account locale non resta più confinato se il filesystem può riscrivere file protetti al posto suo. Qui il punto non è solo il root: su host XFS con reflink attivo, una race nel copy-on-write permette di uscire da SELinux Enforcing e trasformare un accesso ordinario in root, con una modifica che sopravvive al reboot.
Qualys ha pubblicato un PoC per CVE-2026-64600 e descrive un exploit affidabile, senza output nei log del kernel. Il problema riguarda i sistemi Linux con XFS root filesystem e reflink abilitato, inclusi RHEL, Oracle Linux, Amazon Linux e Fedora; secondo la ricerca, la falla è presente dal kernel 4.11.
Il rischio pratico è che la compromissione locale non resti più un evento circoscritto a quell’account. Una volta ottenuta la scrittura su disco e i privilegi di root, il contenimento basato su SELinux e il rilevamento basato sui log non bastano più a chiudere la breccia.