Ing. Calogero Bono
Linux kernelinin TCP IPv4 kodunda, CVE-2026-98432 koduyla izlenen kritik bir açık, uzaktan kod çalıştırmaya yol açabiliyor. Red Hat, düzeltilmiş kernelleri 1 Kasım'da RHEL 8, 9 ve 10 için yayımladı. Canonical ise 2 Kasım'da Ubuntu 22.04, 24.04 ve 26.04 LTS için düzeltmeleri test kanalı -proposed'a koydu, normal güncelleme için ise bir tarih vermedi. Açığa maruz sunucuları yönetiyorsan seçim, beklemek ile hemen kurmak arasında.
Gerçeklere geçmeden önce birkaç terim. CVE, bilinen bir güvenlik açığını tanımlayan koddur. CVSS, açığın ciddiyetini 0 ile 10 arasında ölçen skaladır; buradaki değer 9.8. Use-after-free, programın artık serbest bırakılmış belleği okumasına yol açan bir hatadır. -proposed, Ubuntu'nun güncellemelerin kendiliğinden kurulmadan önce test edildiği kanalıdır. MPTCP, birden fazla ağ yolu kullanan Multipath TCP protokol varyantıdır.
CVE-2026-98432 açığı nedir?
The Hacker News'ın aktardığı bilgilere göre, bir sunucu TCP IPv4 bağlantısı kabul ettiğinde kernel, isteğin IP seçeneklerini kopyalamadan yeni sokete aktarıyor. İstemci isteği yeniden gönderirken başka bir işlemci bu seçenekleri hâlâ okuyorsa, kernel serbest bırakılmış belleği okuyabiliyor.
Saldırgan, herhangi bir dinleme TCP portuna Record Route veya Timestamp IPv4 seçenekleri içeren istekler gönderiyor. Herhangi bir erişim gerekmiyor. Ana IPv6 yolu bundan etkilenmiyor. Hata kernel 4.4'ten beri mevcut ve düzeltme upstream'e Ekim ayında geldi.
Ne kadar ciddi ve dolaşımda bir istismar var mı?
Kernel CVE ekibi bu açığa 10 üzerinden 9.8 veriyor. Red Hat önce 5.9 Moderate olarak değerlendirmiş, sonra puanı 9.8'e çıkarıp açığı Critical olarak tanımlamış. Amazon Linux ise 8.1 vererek Important sınıfına koymuş ve esas olarak bellek bozulmasıyla sonuçlanabilecek çökmelerden söz ediyor.
Hiçbir satıcı, CERT veya kernel ekibi saldırı bildirmedi; Ekim sonu itibarıyla açık CISA'nın istismar edilen açıklar kataloğunda değildi. Anthropic, dahili bir araştırma modelinin MPTCP dinleyicisi olan sunucular için bir root istismarı yazdığını beyan etti, ama kodu yayımlamadı. GitHub'da yalnızca kritik yarış koşulunu tetikleyen kod var, kod yürütme yok.
Hangi Ubuntu sürümleri etkileniyor ve yama nasıl kurulur?
Ubuntu'nun resmi bloguna göre Jammy (22.04) için 5.15.0-203.213 kerneli -proposed kanalında, Noble (24.04) için 6.8.0-149.149, Resolute (26.04) için 7.0.0-43.43 bulunuyor. Stonking (26.10) ise 7.3.0-10.10 ile zaten düzeltilmiş. Focal, Bionic ve Xenial için düzeltme yolda, Trusty etkilenmiyor.
Kullandığın kerneli uname -r ile kontrol edebilirsin. Düzeltmeyi erken almak için add-apt-repository ile -proposed'ı etkinleştirir, apt install -t ile belirtilen sürümü kurar ve yeniden başlatırsın. Canonical, normal yayından önce güncellemeleri 2.000'den fazla sunucu ve sertifikalı cihaz üzerinde test ediyor. Eski sürümler için Ubuntu Pro ile ESM gerekiyor.
Paketleri elle yönetiyorsan, adımlar için apt ve dnf rehberimize bakabilirsin.
Hafifletme yolları var mı, MPTCP'yi kapatmak yeter mi?
Hayır, yalnızca MPTCP'yi kapatmak yetmez. Hata TCP IPv4 yolunda, MPTCP'de değil; Canonical de Ubuntu Security Team'in tek uygun hafifletmenin güncellemeler olduğunu yineliyor. Protokolle ilgili öneri yalnızca Anthropic'in anlattığı istismarın onu kullanmasından kaynaklanıyor.
Red Hat 30 Ekim'de, IP seçenekleri içeren TCP IPv4 paketlerini düşüren bir nftables kuralı yayımladı. Bu kural bilinen tetikleyiciyi engelliyor ama istismarı tamamen önlemiyor ve bu seçenekleri kullanan servisleri bozabilir. Yalnızca kuralın yüklü olduğu ana makinede etkili olur; aynı makinedeki konteynerler arası trafik bunu atlayabilir. Ağ kurallarını anlamak için Linux ağ yapılandırma rehberine bakabilirsin.
Bilmen gereken sınırlar
Ubuntu için normal yayın tarihi belli değil. Bulut, FIPS ve gerçek zamanlı varyantlar hâlâ hazırlanıyor; Canonical'ın yazısı yalnızca genel kerneli kapsıyor. Anthropic'in istismar kodu herkese açık değil ve etkinliği şirketin beyanı, üçüncü taraflarca doğrulanmış değil. Gerçek saldırılar hakkındaki tablo hızla değişebilir.
Dijitalle çalışanlar için neler değişiyor
İnternete açık Ubuntu 22.04, 24.04 veya 26.04 sunucularını yönetiyorsan, -proposed kullanıp kullanmayacağına şimdi karar vermelisin. RHEL 8, 9 ve 10'da güncellemeyi kurup yeniden başlatman yeterli. Yeniden başlatmayı bir bakım penceresine planlamak gerekiyor. Konteynerler ve sanal makineler de ana makinenin kernelini devraldığı için onları da kontrol et. Yönetilen hosting kullanıyorsan yamanın durumunu sağlayıcıya sor.
Bizim değerlendirmemiz
Canonical'ın tercihi teknik açıdan temkinli, ama yamaya en çok ihtiyacı olan sunucuları günlerce korumasız bırakıyor. Kimlik doğrulama olmadan erişilebilen 9.8 puanlı bir açık daha hızlı bir yol hak ediyor; riski -proposed ile yöneticiye bırakmak ancak iyi açıklanırsa kabul edilebilir. Blog bunu yapıyor, ama eski sürümlerdeki gecikme hâlâ bir sorun. MPTCP'yi kapatma önerisinin açıkça yanlışlandığını da belirtmek gerekir.
Sık sorulan sorular
CVE-2026-98432 zaten istismar ediliyor mu?
Satıcılar, CERT'ler veya kernel ekibi tarafından bildirilmiş bir saldırı yok. 30 Ekim itibarıyla açık CISA kataloğunda değildi. Ancak Anthropic'in beyan ettiği yayımlanmamış bir istismar ve GitHub'da kritik yarış koşulunu tetikleyen test kodu mevcut.
Ubuntu'mun etkilenip etkilenmediğini nasıl kontrol ederim?
uname -r komutunu çalıştır ve sürümü Canonical'ın tablosuyla karşılaştır. Kurulu paketleri dpkg -l 'linux-image*' ile görebilirsin. Güncellemeden sonra yeniden başlatma da gerekir.
Yamayı -proposed üzerinden kurabilir miyim?
Evet, hâlâ test aşamasındaki bir kanalı kullanmayı kabul edersen. -proposed'ı etkinleştirir ve kerneli açıkça kurarsın, çünkü otomatik güncellenmez. Ardından yeniden başlatırsın.
MPTCP'yi kapatmak sorunu çözer mi?
Hayır. Açık MPTCP'de değil, TCP IPv4 yolunda; Canonical bunu hatırlatıyor. Öneri yalnızca Anthropic'in anlattığı istismarın MPTCP kullanmasından kaynaklanıyor.
Ubuntu 20.04 veya daha eski sürümler için durum nedir?
Şimdilik bir düzeltme yok. Focal, Bionic ve Xenial beklemede görünüyor ve ESM ile Ubuntu Pro üzerinden gelecek. Trusty etkilenmiyor.
Önümüzdeki günlerde Ubuntu kernelleri için nelere bakmalı
Asıl belirleyici olacak şey, Canonical'ın normal yayın tarihi ve istismar kodunun yayımlanıp yayımlanmayacağı.
- Updates kanalındaki yayın tarihi ve bulut varyantları için Ubuntu'nun CVE sayfasını takip et.
- Saldırı bildirimleri çıkıp çıkmadığını ve CISA kataloğuna eklenip eklenmediğini kontrol et.
- Açığa maruz sunucular için bir yeniden başlatma penceresi hazırla, böylece yama çıkar çıkmaz uygulanabilsin.
