Linux çekirdeğindeki altı açıktan biri için halka açık root exploit ortaya çıktı; hiçbirine henüz CVE atanmadı

Ne oldu

Zero Day Initiative (ZDI), Linux çekirdeğini ve çevresindeki bileşenleri ilgilendiren altı güvenlik açığı raporunu 20 ve 21 Ekim 2026'da bakımcılara ve herkese açık posta listelerine gönderdi. Sysdig'in Threat Research Team ekibi bunları 24 Ekim'de incelediğinde, altı açıktan biri için halka açık çalışan bir proof of concept hâlihazırda vardı; birkaçında yayımlanmış hiçbir çekirdekte yama yoktu ve hiçbirine CVE tanımlayıcısı atanmamıştı; bu bilgiler dev.to'da yayımlanan bir yazıda aktarıldı. Infosecurity Magazine de 26 Ekim'de bu ifşalar hakkında haber yaptı.

Bu birleşim, rutin yama yönetimini zorlaştırıyor. CVE tanımlayıcısı, tarayıcı imzalarını, üretici duyuru sayfalarını ve düzeltilmiş paket sürümlerini birbirine bağlayan şeydir. Tanımlayıcı olmadığında bilgi yalnızca posta listesi yazışmaları ve ZDI aday numaraları olarak var olur; üzerinde eşleştirme yapılabilecek bir akış kaydı bulunmaz.

Çalışan exploit'e sahip açık

ZDI-CAN-33367, Linux ağ yığınında yer alan ve ZDI tarafından 7.8 olarak derecelendirilmiş bir yerel yetki yükseltmesi. Sadece okuma izni olan dosyaların bellek içeriğini yetkisiz bir kullanıcının değiştirmesine imkân veriyor. Etkilenen kod yolu, Dirty Frag page-cache açıkları için daha önce çıkarılan yama tarafından kapsanmıyordu; dolayısıyla o yamayı geri taşıyan bir dağıtım, bu açığa karşı otomatik olarak korunmuyor.

TuxCare, halka açık proof of concept'i kullanarak AlmaLinux 8 ile 10, CloudLinux 9 ve 10, Debian 12 ve 13 ile Ubuntu 24.04 ve 26.04 üzerinde root shell elde etti. Bu liste, maruz kalan kullanıcı kitlesini, filo sahibinin fiilen kontrol edebileceği dağıtımlar cinsinden tanımlıyor; çekirdek sürümleri cinsinden değil.

Sysdig, yetkisiz kullanıcı namespace'lerinin devre dışı bırakılmasının halka açık exploiti engellemesi gerektiğini öne sürdü; ancak TuxCare'un bu azaltım yöntemini doğrulamadığını da belirtti. Aynı kontrol rootless container'ların da temelini oluşturduğundan, uygulanması birçok ekibin standart hâline getirdiği bir dağıtım desenini bozar.

ksmbd'de iki 9.0 puanlı bulgu

En yüksek puanlı raporlar olan ZDI-CAN-33774 ve ZDI-CAN-33549 her ikisi de 9.0 puanına sahip ve her ikisi de çekirdek içi SMB sunucusu olan ksmbd'yi etkiliyor. İlkincisi kimlik doğrulamadan önce uzaktan tetiklenebiliyor ve çekirdek belleğini sızdırıp sistemleri çökertebiliyor. İkincisi ise SMB Direct, bir RDMA arayüzü ve yazılabilir bir paylaşım gerektiriyor; bu, oldukça daha dar bir ön koşul kümesi. Erişilebilir yüzey 445 numaralı port olduğu için Sysdig, ksmbd'nin gerekmediği yerde kaldırılmasını ve kalması gereken yerlerde 445 portunun güvenilir ağlarla sınırlandırılmasını öneriyor.

Geri kalan üçü

ZDI-CAN-34068, çekirdeğin VMware grafik sürücüsünde 8.8 puanla derecelendirilmiş bir yerel yetki yükseltmesi. Analiz anında yaması yoktu ve yalnızca rapor başlığı herkese açıktı; bu da savunmacıları somut bir test dayanağı olmaksızın bıraktı. ZDI-CAN-34076, NVMe target'taki bir bilgi sızıntısı; ZDI-CAN-32005 ise ConnMan ağ yöneticisindeki bir kullanıcı alanı (userspace) stack overflow. Bu ikisi çekirdeğin dışında yer aldığından, düzeltme sorumluluğunu farklı bakımcılara kaydırıyor.

Tanımlayıcı olmadan maruziyeti sıralamak

Sysdig'nin önerisi, önceliklendirmenin CVSS puanına göre değil filonun fiilen çalıştırdığı bileşenlere göre yapılması; çünkü bu, sayısal bir sıralamadan farklı bir düzen üretiyor. Hiç ksmbd yüklemeyen bir filo, iki 9.0 puanlı bulguya maruz değildir; buna karşılık yetkisiz kullanıcı namespace'leri etkin olan bir container filosu, halka açık exploiti barındıran 7.8 puanlı bulguya maruzdur. Bileşen envanteri, eksik CVE'lerin normalde yapacağı sıralama işini üstleniyor.

Yama bulunurluğu ikinci bir boyut ekliyor. 23 Ekim itibarıyla AlmaLinux, yamalı çekirdekleri test ortamında bulunduruyordu ama üretimde değil; dolayısıyla o dağıtımı kullanan filolar ifşa ile yayımlanmış paket arasındaki boşlukta duruyor ve düzeltilmiş sürümlere göre anahtarlanan bir tarayıcı, paket gelene kadar onları etkilenmemiş olarak gösterecek. dev.to'daki yazı, ZDI aday numaralarının, etkilenen bileşenlerin, dağıtım test sonuçlarının ve seçilen azaltım yöntemlerinin ticket'lara kaydedilmesini öneriyor; böylece bu kayıtlar, CVE'ler sonradan atandığında onlarla eşleştirilebilecek.

Neden önemli

Bu küme, ifşa süreçlerinin takip mekanizmasını geçtiğinde ne olduğunu gösteriyor. Halka açık bir exploit, büyük dağıtımlarda doğrulanmış root shell'ler ve eksik yamalar tek başlarına ele alındığında yönetilebilir; eksik CVE tanımlayıcılarıyla birleşince tarayıcıları sessiz ve duyuru akışlarını boş bırakıyorlar. Etkilenen dağıtımları çalıştıran operatörler tanımlayıcıların çıkmasını bekleyemez. ZDI aday numaraları ve kendi bileşen envanterleri bugün işlevsel tutamaçlar; ZDI-CAN-33367 şu anda listelenen dağıtımlara karşı doğrudan test edilebilir.