Qualys Threat Research Unit（TRU）は2026年7月22日、Linuxカーネルの脆弱性「RefluXFS」（CVE-2026-64600）を公表した。
XFSのcopy-on-write経路で、同一のreflinkファイルへの2つのO_DIRECT書き込みが競合するレースコンディションを突き、非特権のローカルユーザーがSELinuxのEnforcingモード下でもroot権限を奪取できる。概念実証はデフォルト構成のRHEL 10.2で行われ、数秒でrootのパスワード保護を無効化した。
改変は再起動後も残り、カーネルログに痕跡を残さない。2017年公開のカーネル4.11以降に存在し、Qualysは全世界1,640万台以上に影響しうると推計する。発見はAnthropicのProject Glasswingのもと、Claude Mythos Previewを用いた共同研究による。修正済みカーネルはすでに提供されている。
From: 
RefluXFS Linux Kernel Vulnerability Lets Attackers Gain Root Access
【編集部解説】
今回の一件で最も注目すべきなのは、脆弱性そのものではなく、それがどのように見つかったかという点です。
Qualys が oss-security メーリングリストに投稿したアドバイザリの冒頭は、通常のセキュリティ文書とは趣が異なります。そこに書かれているのは、実験のログでした。数週間前に Anthropic から Claude Mythos Preview へのアクセスを得た同社は、試みとしてそれを Linux カーネルに向け、「Dirty COW に似た脆弱性を見つけよ」と指示します。最初の探索は空振りに終わりました。そこで研究者たちはプロンプトを絞り込んでいきます。まずレースコンディションに限定し、次に中核の mm/ と fs/ ディレクトリへ、最後に fs/*/ 配下の各ファイルシステムへ。数回の反復ののち、モデルは XFS の競合状態を発見し、root 権限を取る概念実証まで書き上げました。
さらに踏み込んだ事実があります。Qualys は最後に、このアドバイザリ文書そのものの起草もモデルに依頼しました。モデルが担ったのは、脆弱性候補の発見、初期の概念実証、そして文書の草稿です。Qualys 側は探索範囲の設計に加え、実環境での再現、技術的主張の一つひとつの確認と修正、影響評価、そして上流開発者との協調開示を担いました。同社は公式ブログで、この体制を「厳格な人間による監督を維持しながら」と表現しています。
では人間の寄与はどこにあったのでしょうか。ここが本質だと編集部は考えています。当たりを引いたのは、mm/ から fs/ へ、さらに個別ファイルシステムへと降りていった段階的な絞り込みでした。最初の指示は空振りしています。カーネルのどこに古い競合状態が眠っていそうかという見立ては、経験を積んだ研究者の資産にほかなりません。
検証環境は二つ記録されています。oss-security へのアドバイザリによれば、モデルが生成した概念実証を Qualys が最初にレビューし動かしたのは、Fedora Server 44 のデフォルトインストールでした。多くの場合10秒以内、数百回から数千回の試行でレースは成立しています。そして公式ブログが公開した実演動画のほうは、デフォルト構成の RHEL 10.2 上で、数秒のうちに root のパスワード保護が剥がれる様子を映しています。
攻撃側は32スレッドを同時に解き放ち、それぞれが 4KB の O_DIRECT 書き込みを1回だけ発行する。この単純な構造で、9年以上にわたり公には知られていなかった隙間を踏み抜きました。
二つの環境で成立することには意味があります。Fedora Server も RHEL 8/9/10 も、既定のインストーラが reflink を有効にした XFS のルートファイルシステムを作るからです。条件が同じである以上、どちらでも成立する。影響範囲の中心が RHEL とその派生系にあるという構図は、むしろこれで裏づけられます。
技術的に厄介なのは、この攻撃が作動する「層」です。書き込みが着地するのはファイルシステムの割り当て層、つまりブロックレイヤーの直前です。KASLR や SMEP、SMAP といったメモリ保護は、そもそも別の階層を守っています。SELinux も、Qualys の検証では当該コードパスを止めませんでした。コンテナの user-namespace 制限や capability 制限も、このファイルシステム内部の競合そのものは阻止しません。ただしコンテナからの攻撃には、対象ファイルを読み取れること、そして同じ XFS 上に書き込み可能な領域を確保できることが前提になります。マウント構成が成否を左右する、ということです。それでも、多層防御を厚く積んできた組織ほど、その層がまるごと迂回される構図に戸惑うのではないかと思います。
隙間が生まれる理由は、ロックの設計にあります。XFS が inode に対して持つロックは一種類ではありません。メタデータを守る ILOCK と、入出力経路を守る粒度の粗い IOLOCK は別物です。前者を手放してトランザクション用の領域を待っている間に、後者しか握っていない別の書き込みが同じ経路へ入ってこられる。この構造の隙間が、今回の入り口になりました。
しかも reflink はスーパーブロックの機能で、mkfs 時に決まります。既存のファイルシステム上で無効化するマウントオプションや sysctl はなく、Qualys も信頼できる一般的な一時緩和策は確認していないとしています。修正済みカーネルを適用し、そのカーネルで再起動することが、唯一の確実な対策です。
検知の観点も添えておきます。Qualys の検証では、クラッシュも警告も dmesg への出力も生じませんでした。カーネル側の記録には残らないということです。ただし、これはあらゆる監視の目をすり抜けることを意味しません。ファイル整合性監視や監査ログ、EDR による挙動監視は別の層で動いており、/etc/passwd や SUID-root バイナリの内容が変化すれば、そこで拾える可能性は残ります。
日本の読者にとって無視できないのは、対象範囲がエンタープライズ領域と正面から重なることです。XFS は Red Hat Enterprise Linux とその派生系の既定ルートファイルシステムであり、reflink は upstream の xfsprogs 5.1.0（2019年7月）で既定になりました。Red Hat はこれに先行し、xfsprogs 4.17.0-2.el8 として RHEL 8.0 GA（2019年5月）の時点で既定に取り込んでいます。2019年以降に構築された国内の基幹系・金融系 Linux 資産にも、条件を満たす環境が相応に存在しうるということになります。ただし、国内の産業別採用状況を示す統計は公開されていません。
手元の環境を確かめる出発点は xfs_info <マウントポイント> | grep reflink= です。reflink=1 と出れば、3つの条件のうち2つ目を満たしています。ただし、これだけで脆弱と決まるわけではありません。稼働中のカーネルに CVE-2026-64600 の修正が入っていないこと、そして攻撃対象になるファイルと一般ユーザーが書き込めるディレクトリが同じ XFS 上にあること——この2つも併せて確認が必要です。ルート以外の XFS マウントについても、同じ確認が要ります。一方で RHEL および CentOS 7 は、カーネル 3.10 が XFS の reflink 対応そのものを持たないため、いかなる構成でも影響を受けません。RHEL 7 から 8 への Leapp によるインプレースアップグレードも、ディスク上のスーパーブロックが引き継がれる標準的なケースでは対象外となります。新規インストール環境ほど危ういという、直感に反する構図です。
もう一つ、皮肉な話があります。攻撃が成立するには、標的ブロックの参照カウントが 1 から始まる必要があります。管理者が過去に cp /etc/passwd /etc/passwd.bak を実行していれば（coreutils 9.0 以降の cp は --reflink=auto が既定です）、参照カウントは最初から 2 以上となり、そのブロックに対してレースは成立しません。何気ないバックアップが、意図せず盾になっていたことになります。なお Qualys は、chsh が導入されていない環境では SUID-root バイナリのほうが狙いやすいとも記しています。この種の実行ファイルが複製されている例はまれで、参照カウントが 1 のまま残っているからです。ただし、ファイルが書き換えや再生成を経れば新しい非共有ブロックになるため、恒久的な防御ではありません。
タイムラインも見ておく価値があります。この欠陥は2017年2月、コミット 3c68d44a2b49 によってカーネル 4.11 に持ち込まれました。9年以上、公には知られずに存在し続けたわけです。それが協調的開示の手順に沿って7月7日に報告され、7月14日には XFS 開発ツリーへ、7月16日にはリーナス・トーバルズによって本体へマージされました。公開は7月22日16時（協定世界時）。報告から公開まで、わずか15日です。公開時点の Qualys の資料には、実環境での悪用事例は記載されていません。ただしこれは、悪用が存在しないことを保証するものではありません。同社は実演動画と詳細な攻撃手順を公開する一方、完成した概念実証のソースコードは公開していません。
9年対15日。この非対称性こそが、Project Glasswing という賭けの中身だと編集部は見ています。約50のパートナーで始まった取り組みは、その後、重要インフラを担う組織へと対象を大きく広げ、1万件を超える高・重大深刻度の脆弱性を洗い出してきました。Anthropic はここに最大1億ドル（1ドル＝150円換算で約150億円）のモデル利用クレジットを投じ、Linux Foundation 経由で Alpha-Omega と OpenSSF に250万ドル、Apache Software Foundation に150万ドルを寄付しています。守る側に先に手渡す、という時間差の設計です。なお、この発見件数は発表主体による集計であり、全件が第三者検証を経たものではありません。
この設計は、今回の発見の直前に一段階進んでいました。Anthropic は6月9日、Mythos クラスの Claude Fable 5 を一般提供に踏み切ります。ただしサイバーセキュリティや生物学といった領域の問い合わせは安全性の分類器が捕捉し、下位の Claude Opus 4.8 へ差し戻す設計です。安全制限をより緩めた Claude Mythos 5 のほうは、Project Glasswing の承認済みパートナーに限られています。Qualys が今回用いたのは、その限定提供側の系譜にあたる Claude Mythos Preview でした。
線引きの運用が容易でないことも、すでに露呈しています。6月12日、米政府の輸出管理措置により、外国籍利用者への提供が制限されました。即時発効で国籍を実時間で確認する手段がなかったため、Anthropic は両モデルへのアクセスを全利用者に対して停止します。措置は6月30日に解除され、Fable 5 は7月1日に世界中のユーザーへ再開されました。Mythos 5 のほうは6月26日の米政府の承認を受けて一部の米国内組織から復旧しており、6月30日付の同社の説明では、Glasswing のより広い国内外パートナーへの再開は引き続き調整中とされていました。
ここで、Anthropic 自身の検証結果が興味深い展開を見せます。措置の契機となったのは、Amazon の研究者が Fable 5 の安全装置を回避し、複数の脆弱性を特定させ、うち一件では悪用方法を示すコードまで生成させたという報告でした。ところが同社が調べたところ、同じ脆弱性は Claude Opus 4.8、GPT-5.5、Kimi K2.7 といった能力の劣るモデルでも特定でき、悪用の実演にいたっては、その試験で対象としたすべてのモデルが再現できたといいます。報告された手法は、Mythos 級に固有の能力を露出させたわけではなかった——これが同社の結論です。Fable 5 が塞いでいたのは、安全側に大きく余裕を取った境界のほうでした。同社はその後、報告された手法を99%以上の確率で遮断する分類器を導入していますが、通常のコーディングやデバッグで無害な要求を誤検知する頻度も上がったと認めています。
一方で Anthropic は、Mythos 5 について「他のどのモデルよりも効果的に脆弱性を発見・悪用できる」とも明言しています。RefluXFS を掘り当てたのは、この系譜の能力でした。つまり争点は「どのモデルでもできること」と「Mythos 級でしかできないこと」の境界線がどこにあるかであり、その線は固定されたものではなく、いま実地で引き直されている最中だと編集部は見ています。
ただし、この賭けが成立するかは別の問題です。セキュリティ企業の Picus Security は、発見が増えても修正が追いつかなければ効果は限定的だと論じています。同社CTOのボルカン・エルテュルク氏は、防御側はカレンダーの速度で動くのに対し、攻撃はマシンの速度で起きる、という趣旨の対比でこの構図を表現しました。脆弱性発見のボトルネックが外れた結果、次のボトルネックがトリアージと適用に移っただけではないか、という視点です。RefluXFS は15日で塞がれた優等生の事例ですが、すべての発見がこう運ぶわけではありません。
RefluXFS は、2026年前半に相次いだ Linux 権限昇格の系譜——CrackArmor（9件、AppArmor 有効な企業向け Linux が1,260万台以上）、Copy Fail、Dirty Frag、DirtyClone——の最新の一つでもあります。編集部としては、この密度そのものが、探索コストが下がった世界の可視化された姿だと捉えています。もっとも、カーネル側のCVE運用方針の変更や研究者数の増加といった要因も重なっており、AIだけを原因として切り出せるわけではありません。
読者のみなさんに考えていただきたいのは、「AI が脆弱性を見つけた」という一行の先です。今回、モデルは発見し、実証し、文書の草稿まで書きました。それでも研究プロセスは人間の見立てから始まり、人間の再現と検証を経て公開されています。この配分が今後どう動いていくのか。そして、その配分を決めるのが技術的な限界なのか、それとも私たちの選択なのか。RefluXFS は、その問いを具体的な事例として差し出しています。
【用語解説】
RefluXFS
今回の脆弱性に Qualys が付けた通称。攻撃者自身のコピーへの書き込みが元のファイルへ「逆流（reflux）」することに由来する。
XFS
2001年から Linux カーネルに組み込まれているジャーナリングファイルシステム。大容量・高並列の用途に強く、Red Hat Enterprise Linux とその派生系では既定のルートファイルシステムとして採用されている。
reflink（リフリンク）
XFS のコピーオンライト方式のファイル複製機能。cp --reflink や ioctl(FICLONE) による複製では実データはコピーされず、複製元と複製先が同じ物理ブロックを指し、そのブロックの参照カウントが増える。
O_DIRECT
ファイルを開く際の指定の一つで、ページキャッシュを原則として介さずストレージへ読み書きする。データベースなど自前でキャッシュを管理するソフトウェアが用いる。再検証の仕組みを持たない点が今回悪用された。
ILOCK / IOLOCK
XFS が inode に対して持つ二種類の内部ロック。ILOCK はメタデータ操作を、IOLOCK は入出力経路を保護する。粒度も守備範囲も異なるため、特定のダイレクトI/O経路では、片方を手放した隙にもう一方から割り込むことができた。
xfs_info
XFS ファイルシステムの構成情報を表示するコマンド。reflink=1 と表示されれば、脆弱性が成立する3条件のうちの一つを満たす。修正済みカーネルで稼働していれば影響は受けない。
SUID-root バイナリ
実行時に所有者（root）の権限で動作するよう設定された実行ファイル。/usr/bin/su などが該当し、権限昇格の標的になりやすい。
SELinux
Linux の強制アクセス制御機構。Enforcing モードではプロセスが行える操作をポリシーで厳格に制限する。Red Hat 系ディストリビューションでは既定で有効化されている。
AppArmor
SELinux と並ぶ Linux の強制アクセス制御機構。Ubuntu、Debian、SUSE で広く標準採用されている。2026年3月に公表された CrackArmor は、この仕組み自体の欠陥を突くものだった。
KASLR / SMEP / SMAP
いずれもカーネル向けのメモリ保護機構。KASLR はカーネルの配置アドレスを起動ごとに変え、SMEP と SMAP はカーネルがユーザー空間のコードやデータを不用意に実行・参照することを防ぐ。
Dirty COW
2016年に公表された Linux カーネルの権限昇格脆弱性（CVE-2016-5195）。コピーオンライト処理のレースコンディションを突く手法として広く知られ、今回の探索の出発点となった参照事例である。
Leapp
Red Hat が提供する、稼働中のシステムを再インストールせずに次のメジャーバージョンへ移行するためのアップグレード基盤。RHEL 7 時代のルートXFSをそのまま引き継ぐ標準的なアップグレードでは、reflink が無効なスーパーブロックが維持されるため今回の影響を免れる。ただし、アップグレード後に新しく作成した reflink 有効の XFS は、別途確認が必要となる。
oss-security メーリングリスト
オープンソースソフトウェアの脆弱性情報が公開・議論される公開メーリングリスト。協調的開示の期日を迎えたアドバイザリが最初に投稿される場の一つである。
Mythos クラス
Anthropic が2026年に設けたモデルの階層で、従来の最上位である Opus クラスの上に位置する。サイバーセキュリティ関連の能力が高く、提供範囲が段階的に管理されている点が特徴である。
【参考リンク】
Qualys（外部）
今回の脆弱性を発見した米国のセキュリティ企業。クラウド型の脆弱性管理・資産管理基盤を提供する。
Anthropic – Project Glasswing（外部）
限定提供モデルで重要ソフトウェアの脆弱性を先回りして塞ぐ取り組みの公式ページ。参加企業を掲載する。
Anthropic – Expanding Project Glasswing（外部）
電力、水道、医療、通信など重要インフラを担う組織へ対象を広げた経緯を伝える公式発表。
Claude Platform Docs – Introducing Claude Fable 5 and Claude Mythos 5（外部）
2026年6月9日提供開始の2モデルの技術文書。提供範囲の違いが明記されている。
The Linux Kernel Archives（外部）
Linux カーネルの公式配布サイト。今回の修正を含む各ツリーのソースコードが公開されている。
Red Hat（外部）
RHEL の開発元。XFS を既定のルートファイルシステムとして採用し、影響範囲の中心に位置する。
Fedora Project（外部）
Qualys が概念実証を最初に検証した Fedora Server 44 の配布元。RHEL の先行検証の場でもある。
The Linux Foundation（外部）
オープンソース開発を支える非営利団体。Anthropic はこの組織を通じて資金を拠出している。
Open Source Security Foundation（OpenSSF）（外部）
オープンソースの安全性向上を目的とする団体。Alpha-Omega プロジェクトを擁する。
The Apache Software Foundation（外部）
数多くの基盤ソフトウェアを擁するオープンソース財団。Anthropic による寄付の対象となった。
Picus Security – Anthropic’s Project Glasswing Paradox（外部）
発見の加速が修正の遅れという別の課題を生むと論じ、防御と攻撃の速度差を対比で示す分析記事。
【参考動画】
【参考記事】
RefluXFS: A Linux Kernel Local Privilege Escalation to Root in XFS (CVE-2026-64600)（外部）
Qualys 公式の解説記事。デフォルト構成の RHEL 10.2 上での実演動画を掲載し、影響条件の3項目、全世界1,640万台以上という推計、Anthropic との研究を「厳格な人間による監督を維持しながら」進めたとする記述を含む。
RefluXFS: LPE in the Linux kernel via XFS reflink race (CVE-2026-64600)（外部）
Qualys がoss-securityへ投稿したアドバイザリ全文。モデルへの指示をレースコンディション、mm/ と fs/、fs/*/ 配下へと絞り込んだ経緯、Fedora Server 44 上での検証結果、該当コードと ILOCK の解放・再取得、32スレッドによる攻撃手順、2017年2月のコミット 3c68d44a2b49 による混入、7月7日の報告から7月16日のマージ（コミット 2f4acd0）、7月22日の公開に至るタイムラインを記す。
RefluXFS CVE-2026-64600: XFS Root Privilege Escalation Hits 16.4M Systems（外部）
全世界1,640万台以上という影響推計と、実環境での悪用が未確認である点を整理した記事。
Redeploying Claude Fable 5（外部）
6月12日の輸出管理措置によるアクセス停止と、6月30日の解除、7月1日の Fable 5 再開までの公式説明。Mythos 5 が6月26日の政府承認を受けて一部の米国内組織から復旧したこと、Amazon の報告と同じ脆弱性が Opus 4.8、GPT-5.5、Kimi K2.7 でも特定でき、悪用の実演は試験対象の全モデルが再現できたこと、新しい分類器が当該手法を99%以上遮断する一方で誤検知も増えたことが記されている。
Claude Fable 5 and Claude Mythos 5（外部）
2026年6月9日の提供開始を告知した公式発表。Mythos クラスの位置づけと安全対策の考え方を説明する。
Project Glasswing: An initial update（外部）
パートナー各社が1万件超の高・重大深刻度の脆弱性を発見したとする中間報告。提供方針の考え方も示す。
CrackArmor Vulnerability 2026: AppArmor Root Access & Qualys Detection（外部）
AppArmor の9件の脆弱性群に関する公式解説。1,260万台以上という影響規模の推計を示している。
【関連記事】
Dirty Cow、Dirty Pipe、そして Copy Fail──Linux LPE「三世代」の比較が照らす、AIが脆弱性を発見する時代の輪郭
RefluXFS に至る系譜を三世代さかのぼって整理した記事。今回の事例が、どの流れの先端にあるのかが見えてきます。
「Dirty Frag」：エンバーゴ破綻でパッチなし公開、2017年以降のLinux全般に影響するroot権限昇格脆弱性
同じく2017年以降のカーネル全般に影響した脆弱性。協調開示が破綻した事例として、15日で完遂した今回と好対照をなします。
Copy Fail（CVE-2026-31431）｜732バイトのPythonがrootを奪う、AIが発見したLinuxカーネルの論理バグ
本文で名前を挙げた Copy Fail の詳報。AIが見つけたという点でも今回と共通します。
Anthropic「Mythos」「Fable 5」を全面停止、ホワイトハウスの輸出規制と中国アクセス疑惑の全容
6月12日のアクセス停止を報じた記事。今回の記事で触れた復旧までの経緯は、ここからの続きにあたります。
【編集部後記】
xfs_info / | grep reflink= を打てば、reflink が有効かどうかが一行で返ります。ただしこれは3条件のうちの一つで、判定にはカーネルの修正状況も要ります。oss-security の投稿（2026/q3/214）を開くと、Qualys が Claude Mythos Preview への指示を race conditions、mm/ と fs/、fs/*/ と絞り込んだ過程まで読めます。当たりを引いたのはこの絞り込みでした。では、Opus 4.8 や GPT-5.5 でも見つけられる脆弱性と、Mythos 級でなければ届かない脆弱性の境目は、いまどこにあるのでしょうか。
