Ubuntu LTS'de CVSS 9.8 açık: 22.04, 24.04 ve 26.04 için yama yok

CVE-2026-98432 nedir, CVSS 9.8 neden önemli?

CVE-2026-98432, Ubuntu'nun LTS sürümlerinde bulunan ve CVSS ölçeğinde 10 üzerinden 9.8 puan alan kritik bir çekirdek güvenlik açığı. Bu puan, uzaktan sömürülebilen, kimlik doğrulama gerektirmeyen ve tam sistem ele geçirmeye yol açabilen açıklar için ayrılıyor.

Asıl mesele bu rakam. CVSS'te 9.8, tam 10 olmadan ulaşılabilecek en kötü seviyelerden biri. Pratikte saldırganın ağ üzerinden, herhangi bir kimlik bilgisi olmadan açığı tetikleyip çekirdek düzeyinde kod çalıştırabilmesi anlamına geliyor. Çok kiracılı bir sunucuda bu, tek bir konteynerin mi yoksa tüm makinenin mi ele geçirildiği farkına dönüşüyor.

Ubuntu 22.04, 24.04 ve 26.04 LTS sürümlerinin tamamı etkileniyor. Bunlar niş sürümler değil: 22.04 ve 24.04, kendi sunucularını barındıranların, CI koşucularının ve bulut örneklerinin büyük bölümünde varsayılan tercih. Üretimde Ubuntu LTS kullanıyorsanız bu açık doğrudan sizi hedefliyor.

Yama yok, tarih yok, iyi seçenek de yok

Canonical, üç LTS sürümünün hiçbiri için düzeltilmiş çekirdek paketi yayınlamadı ve paketlerin ne zaman geleceğini de söylemedi.

Yöneticileri asıl endişelendirmesi gereken kısım bu sessizlik. Kritik açıklarda çekirdek güncellemeleri genellikle günler içinde gelir. Neredeyse üç haftadır paket çıkmaması, ya düzeltmenin alışılmadık derecede karmaşık olduğunu ya da önceliklendirmenin hâlâ sürdüğünü gösteriyor. İkisinde de sonuç aynı: bugün kurup açığı kapatabileceğiniz resmî bir çekirdek yok.

Ara çözümlerin hepsi rahatsız. Mevcut çekirdekte kalıp riski kabul edebilir, varsa çekirdek dışı bir hafifletme yöntemi arayabilir ya da iş yüklerini yamayı taşıyan bir sürüme veya dağıtıma taşıyabilirsiniz. Üretim filoları için hiçbiri temiz bir cevap değil.

Bu arada aynı hafta gelen başka bir güvenlik haberi, tedarik zincirindeki açıkların ne kadar hızlı yayıldığını hatırlatıyor: Trigger.dev ihlalinde müşterilerin ortam değişkenleri ele geçirildi. Çekirdek açığı ile aynı sınıftan değil ama ikisinin ortak noktası, düzeltme gelene kadar sistemin açıkta kalması.

• Mevcut çekirdekte kalıp riski kabul edin.
• İş yükünüz için varsa çekirdek dışı bir hafifletme uygulayın.
• Etkilenen iş yüklerini düzeltmeyi taşıyan bir sürüme veya çekirdeğe taşıyın.
• Geçici önlem olarak hassas sunuculara ağ erişimini kısıtlayın.

Kimler gerçekten risk altında?

Risk, çekirdeğin yalıtım ve yetki sınırlarını belirlediği internete açık ve çok kiracılı kendi barındırılan sistemlerde en yüksek.

Ubuntu çalışan bir dizüstü bilgisayar asıl endişe değil, ama tamamen bağışık da değil. Gerçek tehlike, genel bir IP adresinde duran sunucu, başkalarının konteynerlerini barındıran Kubernetes düğümü, güvenilmeyen kod çalıştıran CI makinesi. Çekirdek açığının yanal hareket alanına dönüştüğü sistemler tam olarak bunlar.

Yönetilen bir bulut sağlayıcısındaysanız ana makine çekirdeğinin hipervizör düzeyinde yamalanıp yamalanmadığını kontrol edin. Birçok sağlayıcı bunu sizin için halleder. Çıplak metalde kendi barındırmanızı yapıyorsanız veya kendi VM'lerinizi yönetiyorsanız sorumluluk sizde ve şu anda uygulayabileceğiniz bir üst kaynak düzeltmesi yok.

Hesap ve oturum güvenliğinde de benzer bir ders var: geçtiğimiz dönemde tek bir paylaşılan linkle ChatGPT hesabının ele geçirilebildiği ortaya çıkmıştı. Orada da mesele, düzeltme gelene kadar kullanıcının kendi maruziyetini bilmesiydi.

Türkiye'de durum ne?

Türkiye'de Ubuntu 22.04, 24.04 veya 26.04 LTS ile internete açık ya da çok kiracılı bir sistem işletiyorsanız, Canonical yamalı çekirdek yayınlayana kadar etkileniyorsunuz. Resmî bir geçici çözüm henüz yok. Kendi sunucunuzu barındırıyorsanız veya bulut VM'lerini yönetiyorsanız, Ubuntu güvenlik bildirimleri sayfasından sürümünüzü takip edin ve önümüzdeki günlerde gelecek çekirdek güncellemesini bekleyin.

Yerel barındırma hizmeti alanlar, sağlayıcılarına ana makine çekirdeğinin konuk işletim sisteminden bağımsız olarak yamalanıp yamalanmadığını sormalı. Kendi filonuzu yönetiyorsanız en güvenli ara adım, ağ maruziyetini sıkılaştırmak ve etkilenen sunuculara kimlerin erişebildiğini sınırlamak. Türkiye'deki kurumsal altyapılarda Ubuntu LTS yaygın olduğu için bu açık, yerel veri merkezlerinde de dikkatle izlenmeli.

Canonical yamalı çekirdekleri yayınlayana kadar top yöneticilerde. Maruziyetinizi kontrol edin, önemli sunuculara ağ erişimini sınırlayın ve Ubuntu'nun güvenlik bildirimlerini takip edin. Düzeltme gelecek; soru, gelene kadar ne kadar hasar oluşacağı.