CloudLinux OS: falha RefluXFS (CVE-2026-64600) no kernel permite elevação de privilégio local
O que fazer
- Afeta
- Servidores com CloudLinux
- Quem faz
- Hospedagem e revenda: nada a fazer, a Rapid Cloud atualiza o servidorVPS e Cloud: você atualiza o servidor
- Ação
- Aplicar a atualização ou a mitigação indicada no aviso original
- PrazoVPS e Cloud
- Até 30/07já passou7 dias após a publicação. Se ainda não atualizou o servidor, atualize agora.
- Exploração
- Com acesso local ao servidor · com login de usuário comum · sem ação da vítima
Ficou com dúvida?Falar com o suporte
O que aconteceu
A CloudLinux publicou uma página de acompanhamento das correções para a RefluXFS (CVE-2026-64600), uma vulnerabilidade de gravidade alta (CVSS 7.8) no sistema de arquivos XFS do kernel Linux. Segundo o fornecedor, a falha está presente em todos os kernels a partir da versão v4.11 e permite que um usuário local sem privilégios obtenha acesso de root, ou seja, controle total do servidor. A falha foi descoberta pela Qualys e afeta servidores com CloudLinux OS.
Gerado por IA a partir do aviso do fornecedor em . Em caso de divergência, vale o original.Ler na fonte (blog.cloudlinux.com)
Trecho do aviso original, em inglês
RefluXFS (CVE-2026-64600) is a Linux kernel Local Privilege Escalation in the XFS filesystem, present in every kernel from v4.11 (April 2017) onward. On an affected host, an unprivileged local user can gain root, with no capabilities, namespaces, or special hardware required. It was discovered by Qualys and publicly disclosed on 2026-07-22 via oss-security. This page […]
Trecho curto, reproduzido para referência.Texto completo em blog.cloudlinux.com
Título original e fonte
ENRefluXFS (CVE-2026-64600) Local Root Exploit: Release Status Tracker for CloudLinux
O que são esses termos?
- CVE
- Código único de uma falha de segurança, como CVE-2026-12345. Serve para achar a mesma falha em qualquer fonte.
- CVSS
- Nota de 0 a 10 que mede a gravidade técnica de uma falha. De 9 a 10 é crítica; de 7 a 8,9, alta; de 4 a 6,9, média; abaixo de 4, baixa.
- Exploração
- Como a falha pode ser explorada: pela internet ou só com acesso ao servidor, com ou sem login, com ou sem ajuda de alguém.
- Prazo
- Prazo recomendado para quem precisa agir, contado da publicação. Crítica ou KEV: imediatamente; Alta: em até 7 dias; Média: em até 30 dias; Baixa: na próxima atualização de rotina; Sem nota oficial: em até 7 dias. Vale para o que é do site (WordPress e plugins) em qualquer plano e, no que é do servidor, só para VPS e Cloud: na hospedagem e na revenda, quem atualiza o servidor é a Rapid Cloud.