CVE-2026-98432: Linux'ta 9.8'lik TCP açığı, Ubuntu'da hâlâ yamasız

CVE-2026-98432 nedir, neden 9.8 puan aldı?

Linux çekirdeğinin IPv4 TCP el sıkışma kodunda, herhangi bir uzak eşin kimlik bilgisi olmadan tetikleyebildiği bir use-after-free açığı.

Hata, her Linux sunucusunun IPv4 TCP bağlantısı kabul ederken, daha uygulama devreye girmeden çalıştırdığı kodda. Bir eşin IPv4 başlığı seçenek taşıdığında çekirdek bunları bir istek soketinde saklıyor ve sonra tam sokete kopyalamadan devrediyor. Bağlantı ortadan kalkarsa bu seçenekler hemen serbest bırakılıyor; oysa başka bir CPU hâlâ yanıt oluşturmak için onları okuyor olabilir. Klasik bir use-after-free.

Çekirdeğin kendi CVE Numaralandırma Otoritesi (CNA) açığa CVSS 3.1 üzerinden 9.8, yani Kritik verdi. CNA notlarına göre eski veri, çekirdek yığın belleğini eşe sızdırabiliyor, çekirdek yazmalarını sınırların dışına yönlendirebiliyor veya makineyi çökertebiliyor. Hatayı bildiren araştırmacının çalıştığı Anthropic, Claude modelinin "çok yollu TCP dinleyicisi olan Linux sunucularında" kimlik bilgisi olmadan root olarak komut çalıştıran çalışan bir kavram kanıtı sömürüsü yazdığını söylüyor.

Eric Dumazet'in üst akış düzeltmesi dört satırlık bir değişiklik: iki düz kfree() çağrısını, belleği serbest bırakmadan önce tüm okuyucuların işini bitirmesini bekleyen kfree_rcu() ile değiştiriyor. Aynı desen çekirdeğin başka yerlerinde zaten kullanılıyordu. Commit ayrıca istek soketi taşınmasındaki aynı sorunu da düzeltiyor ve ilgili bir IPv6 vakasının "ayrı bir yamayla ele alınacağını" belirtiyor.

Hangi Linux dağıtımlarında yama var?

Üst akış kararlı çekirdekleri düzeltildi, ama dağıtım çekirdekleri yamaları kendi sürüm numaraları altında geri taşıyor; bu yüzden üst akış sürümüne değil dağıtımınızın izleyicisine bakın.

Düzeltilmiş üst akış sürümleri 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 ve 7.3. Hata Linux 4.4'e kadar uzanıyor.

29 Ekim'de saat 20:00 CDT itibarıyla Ubuntu'nun izleyicisi linux paketini her sürümde hâlâ "Savunmasız" olarak listeliyor. 26.10, 26.04, 24.04 ve 22.04'te 7.3.0-10.10, 7.0.0-43.43, 6.8.0-149.149 ve 5.15.0-203.213 sürümlerinde "çalışma sürüyor" notu düşülmüş; 20.04, 18.04 ve 16.04 ise yalnızca "Savunmasız" görünüyor. Birçok bulut ve donanım destek çekirdeği de aynı durumda ve henüz bir Ubuntu Güvenlik Bildirimi (USN) yayımlanmadı.

Red Hat, RHEL 8, 9, 10 ve OpenShift Container Platform 4'ü etkilenenler arasında gösteriyor; yama yok. RHEL 6 ve 7 etkilenmiyor. Red Hat'e göre hafifletme "ya mevcut değil ya da mevcut seçenekler Red Hat Ürün Güvenliği kriterlerini karşılamıyor".

Debian'da düzeltmeler 12 "bookworm" (6.1.190-1, DLA-4841-1 ve linux-6.12 6.12.113-1~deb12u1, DLA-4850-1), 13 "trixie" (6.12.113-1, DSA-6568-1) ve unstable'da mevcut. SUSE açığı önemli sayıyor: SUSE Linux Enterprise Server 16.0 (kernel-default 6.12.0-160000.40.1) ile 15 SP4, SP5 ve SP6 LTSS çekirdekleri düzeltildi; 15 SP7'de çalışma sürüyor, openSUSE Leap 15.6 ve 16.0 ise etkilenenler listesinde.

Oracle Linux açığı Önemli, CVSS 3.1 8.1 olarak derecelendiriyor. Oracle Linux 7, 8, 9 ve 10 için Unbreakable Enterprise Kernel düzeltmeleri 16 Ekim'de çıktı (ELSA-2026-500397, ELSA-2026-500398, ELSA-2026-500399). Amazon Linux da Önemli, CVSS 3.1 8.1 diyor: Amazon Linux 2023'te kernel6.18 (ALAS2023-2026-3251, 24 Ekim) ve kernel6.12 (ALAS2023-2026-3335, 29 Ekim) düzeltildi. Varsayılan çekirdek paketi ve Amazon Linux 2'nin tüm çekirdekleri ise "Yama Bekliyor" durumunda.

Kimler risk altında ve sunucunuzu nasıl kontrol edersiniz?

Etkilenen çekirdekte IPv4 TCP bağlantısı kabul eden her Linux makinesi açık: web sunucuları, SSH, veritabanları, yük dengeleyiciler ve Kubernetes düğümleri.

Savunmasız yol, TCP el sıkışması sırasında, uygulama kimlik doğrulamasından önce çalışıyor; bu yüzden yalnızca yeni bağlantıları engelleyen bir güvenlik duvarı kuralı ağ düzeyinde koruma sağlıyor. Konteynerler işe yaramıyor: konteyner ana makinenin çekirdeğinde çalışır, yeni bir imaj hiçbir şeyi değiştirmez.

Öncelik, çok yollu TCP (MPTCP) dinleyicisi olan makinelerde. Anthropic'in çalışan sömürüsünün ihtiyaç duyduğu kurulum bu; yine de Anthropic dinleyicinin neden önemli olduğunu açıklamadı ve CVE kaydında MPTCP geçmiyor. Bir sunucuda bu dinleyici yalnızca bir uygulama MPTCP soketi açtığında bulunur.

MPTCP dinleyicisi olup olmadığını görmek için ana makinede (konteyner içinde değil) `ss -M` komutunu çalıştırın. Boş sonuç, MPTCP dinleyicisi yok demek. Tek başına `net.mptcp.enabled = 1` bir dinleyici oluşturmaz. Çalışan çekirdeğinizi dağıtımınızın izleyicisiyle de doğrulayın: kurulu çekirdek çalışandan daha yeniyse, yeniden başlatana kadar düzeltme etkin olmaz.

Çekirdek düzeyindeki bir açığın üst akış yamalarıyla dağıtım çekirdekleri arasındaki farkı ortaya koyması ilk kez değil. Benzer gecikmeler, yama hızının farkı belirlediği Palo Alto güvenlik duvarlarına yönelik PHP2SHELL saldırıları gibi olaylarda da görüldü.

• `ss -M` komutunu konteyner içinde değil, konteyner makinelerinde ve Kubernetes düğümlerinde çalıştırın.
• Tam çekirdek paket sürümü için dağıtımınızın CVE izleyicisine bakın.
• Düzeltilmiş çekirdeği kurduktan sonra yeniden başlatın; yeni kurulan çekirdek o ana kadar bir işe yaramaz.

Tehlike gerçekten ne kadar büyük?

Red Hat, CNA'dan daha düşük puan veriyor; ama Anthropic'in laboratuvar sömürüsü en az bir yapılandırmada uzaktan root kabuğu gösteriyor.

Red Hat saldırı karmaşıklığını Yüksek (CVSS 8.1) sayıyor ve sonucu ağırlıklı olarak çökme "ya da olası bellek bozulması" diye tanımlıyor. Bu, CNA'nın 9.8'inin yanında anlamlı bir fark ve RHEL yamalarının neden henüz çıkmadığını açıklayabilir.

Ama daha düşük puan beklemek için sebep değil. Anthropic, kaybedilen bir yarışın "sistemin tamamını çökertmeden yalnızca el sıkışmayı başarısız kıldığını, bu yüzden kararlı bir saldırganın başarana kadar sonsuza dek yeniden deneyebileceğini" söylüyor. Sonsuza dek yeniden deneyebilen, uzaktan gelen ve kimlik doğrulaması olmayan bir saldırgan her denemesi güvenilir olmasa bile ciddi bir sorun.

Asıl mesele zamanlama: teknik ayrıntılar artık kamuya açık ve sömürü yeniden üretilebilecek kadar ayrıntılı anlatılmış durumda. Üretim çekirdeği yamasız kaldığı her saat, saldırganın kullanabileceği bir saat.

Türkiye'de durum ne?

Türkiye'deki kurumların büyük kısmı bulut sunucularında Ubuntu, Debian veya RHEL tabanlı dağıtımlar kullanıyor; bu da açığın doğrudan Türkiye'yi de ilgilendirdiği anlamına geliyor. 29 Ekim itibarıyla Debian, SUSE, Oracle Linux ve Amazon Linux 2023 için düzeltme var; Ubuntu ve Red Hat için yok. Yerel veri merkezlerinde veya bulut sağlayıcılarında çalışan sanal makinelerde çekirdek sürümünü mutlaka kontrol edin, çünkü sağlayıcılar kendi çekirdeklerini sessizce yamalamış olabilir.

Türkiye'deki sistem yöneticileri için pratik tavsiye şu: Ubuntu veya RHEL kullanıyorsanız üretici çekirdeği yayımlanır yayımlanmaz kurun ve yeniden başlatın. O zamana kadar mümkünse gelen IPv4 TCP bağlantılarını kısıtlayın ve olağandışı çökmeleri ya da bellek bozulması belirtilerini izleyin. Red Hat'in resmî bir hafifletme yöntemi bulunmuyor. Yama çıktığında Türkiye saatine göre gece bakım penceresi planlamak, iş yüklerini kesintisiz tutmanın en kolay yolu.

Yama dört satır; sorun bekleyişte. Linux çalıştırıyorsanız dağıtımınızın izleyicisine bakın, çekirdek güncellemesi geldiğinde uygulayın ve yeniden başlatın. Ubuntu ve RHEL kullanıcıları için bu, önümüzdeki günlerde bir güvenlik bildirimi beklemek anlamına geliyor.