Selama ini kamu mungkin percaya bahwa server Linux perusahaanmu aman karena tidak ada akses fisik langsung, password root dijaga ketat, dan hak akses pengguna dibatasi seketat mungkin. Qualys baru saja mempublikasikan video simulasi yang membuktikan asumsi itu tidak cukup: celah bernama RefluXFS atau CVE-2026-64600 memungkinkan pengguna biasa tanpa sudo dan tanpa mengetahui password root mendapatkan akses penuh ke sistem hanya dengan mengeksploitasi kesalahan pada filesystem XFS di level kernel. Linux dianggap aman, ternyata rentan pada lapisan yang paling fundamental. Di artikel ini, kamu bakal nemuin bagaimana eksploitasi ini bekerja langkah demi langkah, apa yang bisa dilakukan penyerang setelah mendapat akses root, dan mengapa celah ini berbahaya meskipun tidak bisa langsung dieksploitasi dari internet.
Kesalahan Filesystem XFS Kernel: Bagaimana Data Pengguna Biasa Bisa Masuk ke /etc/passwd
Untuk memahami mengapa kerentanan Linux XFS ini dikategorikan serius, kamu perlu tahu apa yang sebenarnya salah di level teknis. RefluXFS mengeksploitasi kesalahan logika pada filesystem XFS yang menyebabkan kernel salah menentukan lokasi penulisan data.
Dalam kondisi normal, ketika pengguna biasa menulis data ke sebuah file, kernel memastikan data itu masuk ke file yang dimiliki pengguna tersebut dan tidak bisa menyentuh file sistem yang dilindungi. Kesalahan filesystem XFS kernel dalam CVE-2026-64600 membalik jaminan itu: exploit membuat kernel menulis data ke lokasi yang berbeda dari yang seharusnya. Data yang seharusnya masuk ke file milik pengguna justru diarahkan ke file sistem kritis seperti /etc/passwd — file yang menyimpan informasi akun dan seharusnya hanya bisa dimodifikasi oleh administrator.
Eksploitasi /etc/passwd adalah titik kritis dalam serangan ini. Begitu file tersebut bisa dimodifikasi oleh pengguna biasa, struktur keamanan yang memisahkan hak akses biasa dari hak akses administrator runtuh sepenuhnya — bukan karena ada yang mencuri password, tapi karena mekanisme yang seharusnya mencegah penulisan itu tidak bekerja sebagaimana mestinya di level kernel.
Cara Akun Biasa Linux Jadi Root Tanpa Password: Simulasi Qualys yang Mengubah Perspektif
Video simulasi eksploitasi Qualys mendemonstrasikan serangan ini dari titik awal yang tampak tidak berbahaya: sebuah akun Linux biasa, tanpa akses sudo, tanpa mengetahui password root. Inilah yang membuat demonstrasi ini begitu mengkhawatirkan — titik awal yang sama ini adalah kondisi yang dimiliki oleh jutaan akun pengguna terbatas di server Linux di seluruh dunia.
Setelah exploit berhasil memanfaatkan celah keamanan kernel Linux untuk mengarahkan penulisan data ke /etc/passwd, langkah berikutnya sangat sederhana: jalankan perintah su tanpa password root. Tidak ada brute force. Tidak ada credential yang perlu dicuri. Cukup satu perintah, dan terminal yang tadinya berjalan sebagai pengguna biasa sekarang beroperasi sebagai root.
Cara akun biasa Linux jadi root tanpa password seperti ini adalah demonstrasi privilege escalation Linux yang paling bersih dari sudut pandang penyerang: tidak meninggalkan jejak kredensial yang dicuri, tidak membutuhkan interaksi dengan pengguna lain, dan tidak memerlukan jaringan komunikasi dengan server eksternal selama proses eskalasi berlangsung.
Backdoor Server Linux dan Perubahan yang Bertahan Setelah Reboot
Akses root ilegal server Linux bukan tujuan akhir dari eksploitasi ini — ia adalah pembuka pintu ke seluruh kemampuan kontrol sistem. Begitu penyerang beroperasi sebagai root, seluruh batas akses yang sebelumnya ada tidak lagi relevan.
Dari posisi root, penyerang bisa membaca seluruh data di sistem termasuk file konfigurasi dan kredensial tersimpan, mengambil alih koneksi dan sesi yang sedang aktif, mengubah konfigurasi server sesuai kebutuhan, dan yang paling berbahaya: memasang backdoor server Linux yang memberikan jalur masuk permanen bahkan setelah insiden ditemukan dan akun yang digunakan untuk awal serangan sudah dinonaktifkan.
Yang membuat situasi ini lebih serius adalah satu karakteristik teknis dari RefluXFS: perubahan konfigurasi server bertahan setelah reboot karena data ditulis langsung ke penyimpanan — bukan hanya ke memori yang akan hilang saat sistem dimatikan. Ini berarti tindakan "matikan dan hidupkan ulang server" yang sering menjadi respons pertama ketika insiden terdeteksi tidak akan menghapus perubahan yang sudah dilakukan penyerang. Pengambilalihan penuh sistem server Linux yang dihasilkan oleh eksploitasi ini bersifat persisten secara desain.
Akses SSH Bocor Jadi Celah Awal Serangan: Mengapa Akun Terbatas Bukan Berarti Aman
RefluXFS bukan celah yang bisa langsung dieksploitasi dari internet tanpa akses awal apapun. Penyerang tetap membutuhkan titik masuk pertama — dan di sinilah akses SSH bocor jadi celah awal serangan menjadi relevan secara langsung.
Titik masuk awal yang bisa dimanfaatkan mencakup akun SSH dengan kredensial lemah atau yang sudah bocor dalam insiden sebelumnya, celah pada aplikasi web yang berjalan di server, web shell yang ditanam melalui kerentanan aplikasi, atau akun pengguna terbatas yang diperoleh melalui phishing atau credential stuffing. Risiko akses pengguna terbatas dieksploitasi selama ini sering diremehkan dengan argumen "toh hak aksesnya terbatas, tidak bisa berbuat banyak." CVE-2026-64600 menghancurkan argumen itu: akses terbatas yang dikombinasikan dengan celah kernel dan filesystem Linux ini cukup untuk berubah menjadi kendali penuh atas sistem.
Ini adalah pola yang perlu diinternalisasi oleh setiap administrator server Linux: setiap akun dengan akses apapun ke sistem yang menjalankan kernel rentan terhadap RefluXFS adalah potensi titik eskalasi ke root — bukan hanya potensi ancaman terbatas.
Keamanan Infrastruktur Server Berbasis Linux: Langkah yang Harus Diambil Sekarang
Simulasi Qualys ini bukan hanya demonstrasi teknis yang menarik untuk ditonton — ini adalah argumen yang sangat konkret untuk mengaudit postur keamanan infrastruktur Linux kamu hari ini. Langkah pertama dan paling mendesak: pastikan sistem Linux di infrastrukturmu sudah menerapkan patch untuk CVE-2026-64600 dari distributor masing-masing, karena ini adalah satu-satunya mitigasi yang benar-benar menutup celah di level kernel.
Sambil menunggu patch atau setelah patch diterapkan, audit seluruh akun yang memiliki akses SSH ke server — nonaktifkan akun yang tidak aktif, rotasi kredensial yang mungkin sudah bocor, dan terapkan autentikasi berbasis kunci sebagai pengganti password. Pantau log sistem untuk aktivitas mencurigakan di sekitar file /etc/passwd dan perintah su yang tidak biasa, karena pola inilah yang akan muncul jika eksploitasi sedang atau sudah terjadi. Keamanan infrastruktur server berbasis Linux di era ketika celah kernel dan filesystem Linux seperti ini bisa ditemukan dan didemonstrasikan secara publik menuntut satu prinsip yang tidak boleh ditawar: tidak ada akun, tidak ada layanan, dan tidak ada komponen sistem yang boleh dianggap "terlalu terbatas untuk berbahaya."
