Linux kernel TCP use-after-free açığı CVE-2026-98432 kimlik doğrulaması gerektirmeyen uzaktan ele geçirme riski taşıyor

TCP el sıkışmasında use-after-free

Linux dağıtımları operatörleri, kernel'in IPv4 TCP bağlantı kurulumundaki use-after-free açığını yamalamaya çağırıyor. CVE-2026-98432 olarak takip edilen bu kusur, kimlik bilgisi olmayan uzaktan bir saldırgan tarafından tetiklenebiliyor ve üreticiler bunun uzaktan kod çalıştırmaya yol açabileceğini belirtiyor; bu bilgiler güvenlik araştırmacısı Kunal Vohra tarafından dev.to üzerinde yayınlanan ayrıntılı bir bildirimde yer alıyor. Hata Linux 4.4'ten beri kernel'de mevcut, yani desteklenen neredeyse her dağıtım kernel'i kapsama alanında. IPv4 TCP portu açan her sunucu — bir web sitesi, bir API, SSH — kernel'i kontrol edilene kadar etkilenmiş sayılmalı.

Kusur nasıl çalışıyor

Yazıya göre kök neden, kernel'in gelen bir bağlantı isteğindeki IP seçeneklerini yeni oluşturulan socket'e aktarma biçimindeki bir race condition. Bir sunucu IPv4 TCP bağlantısını kabul ettiğinde, kernel isteğin IP seçeneklerini önce kopyalamadan child socket'e devrediyor. İstemci bağlantı isteğini tam yanlış bir anda yeniden gönderirse, kernel bu seçenekleri çoktan serbest bırakıldıktan sonra okuyabiliyor. 5 Ekim 2026'da upstream'e dahil edilen düzeltme, serbest bırakma işlemini güvenli olana kadar geciktiriyor.

Tetikleyici, IPv4 Record Route veya Timestamp seçenekleri taşıyan ve herhangi bir dinleme portuna yöneltilen bir TCP bağlantı isteği. Ne giriş ne de kullanıcı etkileşimi gerekiyor. Ana kusur yalnızca IPv4'ü etkiliyor; ilgili bir IPv6 geçiş sorunu ayrı olarak ele alınıyor.

Önem derecesi kaynağa göre farklı, ama hatanın varlığına kimse kuşku duymuyor

CVSS puanları üreticiye göre değişiyor: kernel CVE ekibi ve Ubuntu 9.8 (Critical) verirken, Oracle, SUSE ve Amazon'un CVE sayfası 8.1 kullanıyor; başta daha düşük puanlayan Red Hat de artık Kritik olarak değerlendiriyor. dev.to rehberi, bu farklılığın yarışın kazanılmasının ne kadar zor olduğunu yansıttığına, kusurun gerçek olup olmadığına dair bir anlaşmazlığa işaret etmediğini not düşüyor.

Araştırmacısı kernel düzeltmesinde adı geçen Anthropic, 27 Ekim 2026'da modelinin tek bir belirli konfigürasyon için yazdığı bir exploit'i anlatan bir araştırma yayınladı: Multipath TCP dinleyicisi çalıştıran bir sunucu. Bildirilen zincir, bir kernel adresini sızdırmak için 48 dakika, root olarak komut çalıştırmak için de yaklaşık beş dakika daha aldı. Exploit kodu yayınlanmadı ve 3 Kasım 2026 itibarıyla hiçbir üretici veya CERT sahadaki saldırıları bildirmedi.

Dağıtıma göre yama durumu

Çözüm her yerde aynı — üreticinin yamalanmış kernel'ini kur, yeniden başlat ve çalışan sürümü doğrula — ama kullanılabilirlik farklı. 1–3 Kasım 2026 arasında bildirilen durum:

• Debian: düzeltilmiş kernel'ler güvenlik depolarında — bookworm'da linux 6.1.190-1 (backport edilmiş 6.12 derlemesi mevcut), trixie'de 6.12.113-1 veya üzeri.
• Amazon Linux: 24–30 Ekim 2026 tarihli bildirimler Amazon Linux 2023 ve 2'yi, 5.4, 5.10 ve 15.15 extras'ları ile 6.12 ve 6.18 kernel paketlerini kapsıyor.
• Red Hat ailesi: RHEL 8.10, 9.8 ve 10.2 için düzeltilmiş kernel'ler 1 Kasım 2026'da çıktı ve errata yeniden başlatma gerektiriyor; RHEL 7 etkilenmiyor. Oracle'ın UEK kernel'leri 16 Ekim'de düzeltildi; Rocky ve Alma'nın Red Hat derlemelerini izlemesi bekleniyor.
• Ubuntu: istisna. Canonical'ın 2 Kasım tarihli gönderisine göre, 22.04, 24.04 ve 26.04 LTS için düzeltilmiş kernel'ler uygunluk testlerinin ardından -proposed pocket'ta bekliyor; 26.10'un düzeltmesi ise hazır. Eski LTS sürümleri Ubuntu Pro gerektiriyor; cloud, FIPS ve real-time çeşitleri hâlâ çalışma aşamasında.

Maruziyet kontrolünde iki tuzak

Rehber iki yaygın hataya dikkat çekiyor. Birincisi, kurulmuş olsa bile yamalı bir kernel paketi, makine onunla yeniden başlatılana kadar hiçbir işe yaramaz; uname -r diskte olanı değil fiilen çalışan sürümü gösterir. İkincisi, Red Hat'in ss -Mlnp ile Multipath TCP dinleyicilerini arama önerisi yalnızca Anthropic'in sömürdüğü konfigürasyona uyar; MPTCP dinleyicisinin olmaması bir host'un güvenli olduğu anlamına gelmez, çünkü kusur sıradan IPv4 TCP yolunda bulunuyor.

Container'lar durumu değiştirmiyor, çünkü host kernel'ini paylaşıyorlar; yamalanması gereken host'un kendisi. Operatörlerin kernel'e hiç dokunmadığı yönetilen platformlar — serverless veya PaaS tekliflerinin çoğu gibi — sağlayıcının sorumluluğunda kalıyor.

Neden önemli

Bu, her Linux sunucusunun çalıştırdığı bir kod parçasındaki, kimlik doğrulaması öncesi bir kusur; açık bir porttan root'a bir saat altında giden belgelenmiş bir araştırma yolu mevcut. Tek eksiksiz çözüm kernel güncellemesi artı yeniden başlatma — birçok küçük ekibin rutin olarak ertelediği bir işlem — ve birçok startup'ın kullandığı dağıtım olan Ubuntu'nun normal güncelleme kanalında hâlâ bir düzeltmesi yok. CVSS anlaşmazlığı ile manşet olan exploit araştırması arasında pratik çıkarım tartışmadan daha basit: veritabanları, bastion host'lar, CI runner'lar ve Kubernetes node'ları dahil her Linux host'un envanterini çıkar, düzeltilmiş kernel'i mevcut olanları yamala ve yamanmamış, açık bir IPv4 portu olan her şeyi maruz kalmış olarak değerlendir.