Linux'ta kritik TCP el sıkışma açığı (CVE-2026-98432) upstream'de düzeltildi, Ubuntu ve RHEL hâlâ savunmasız

Ne oldu

Linux çekirdek projesi, uzaktan bağlanan ve kimlik doğrulaması gerektirmeyen bir tarafın tetikleyebildiği, IPv4 TCP el sıkışma yolundaki use-after-free açığı olan CVE-2026-98432 için düzeltmeleri yayımladı. Upstream commit'lerini ve dağıtım takip sistemlerini inceleyen Atlas'a göre, çekirdeğin kendi CVE Numaralandırma Kurumu (CNA) bu açığı CVSS 3.1 puanı 9.8 ile Kritik olarak derecelendiriyor. Hata Linux 4.4'ten beri mevcut ve yamalanmış upstream sürümleri, 11–18 Ekim 2026 arasında gelen 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 ve 7.3. CVE kaydı 15 Ekim'de cve.org'da yayımlandı; Atlas, 29 Ekim akşamı itibarıyla NVD'nin kaydı hâlâ yalnızca "alındı" olarak, hiçbir analiz olmadan listelediğini belirtiyor.

Güvenlik açığını Anthropic'ten Xinyang Ge bildirdi; Eric Dumazet tarafından yazılan ve Kuniyuki Iwashima tarafından incelenen düzeltme — iki dosya ve dört satırlık bir değişiklik — Ekim başında upstream'e girdi. Anthropic, Claude modelinin, multipath TCP (MPTCP) dinleyicisi çalıştıran sunuculara karşı kimlik bilgisi olmadan root olarak komut çalıştıran çalışan bir proof-of-concept oluşturduğunu söylüyor. Sömürü (exploit) yayımlanmadı ve ne Anthropic ne de CVE kaydı, neden bir MPTCP dinleyicisi gerektiğini açıklamıyor.\n

Hata nasıl çalışıyor

Bir sunucu IPv4 TCP bağlantısını kabul ettiğinde, çekirdek önce yarım açık el sıkışmayı hafif bir istek soketinde izler, ardından el sıkışma tamamlandığında tam bir soket oluşturur. Bağlanan tarafın IP başlığında seçenekler (options) varsa, çekirdek bunları yanıtlarda yansıtabilmek için bir kopyasını saklıyordu. Atlas'ın açıkladığı gibi, çekirdek bu saklanan seçenek verisini istek soketinden yeni bağlantıya kopyalamadan devretti, sonra bağlantı sona erdiği anda serbest bıraktı — bu sırada başka bir CPU, el sıkışma yanıtı oluşturmak için hâlâ o belleği okuyor olabilirdi. Bu yarış durumu (race condition) use-after-free hatasının ta kendisi.

Bunların tamamı, herhangi bir uygulama kodu ya da kimlik doğrulama çalışmadan önce, el sıkışma sırasında çekirdek içinde gerçekleşiyor. CNA'nın puanlama notları, sonuçların çekirdek yığın (heap) içeriğinin uzak tarafa sızdırılmasından, çekirdeğin sınırlar dışına yazmasına ve çökmeye kadar uzandığını söylüyor. Anthropic, kaybedilen bir yarışın yalnızca o tek el sıkışmayı başarısız kıldığını, sistemi çökertmediğini, bu yüzden ısrarcı bir saldırganın sınırsız kez yeniden deneyebileceğini ekliyor. Düzeltme commit'ine göre IPv6 bu belirli sorundan etkilenmiyor.

Düzeltme

Dumazet'in "ipv4: free inet_opt and ireq_opt after an RCU grace period" başlıklı commit'i, iki düz kfree() çağrısını, belleği tüm okuyucular bitene kadar bekleyen kfree_rcu() ile değiştiriyor — eşdeğer kod yollarının zaten yapmış olduğu bir şey. Aynı yama, net.ipv4.tcp_migrate_req=1 veya bir BPF soket geçiş programı üzerinden erişilebilen istek soketi geçişindeki (migration) özdeş sorunu da düzeltiyor ve ilgili bir IPv6 vakasının ayrıca ele alınacağını not ediyor.

Dağıtım durumu

Dağıtım çekirdekleri düzeltmeleri kendi sürüm numaralarıyla geri taşır, bu yüzden operatörler upstream sürümlerine değil takip sistemlerine bakmalı. 29 Ekim saat 20:00 (CDT) itibarıyla Atlas'ın taraması şunu buldu:

• Debian: bookworm'da (12) iki danışma belgesiyle, trixie'de (13) ve unstable'da düzeltildi.
• Ubuntu: her sürüm hâlâ savunmasız listeleniyor; bazı çekirdeklerde düzeltmeler sürüyor ve henüz Security Notice yayımlanmadı.
• Red Hat: RHEL 8, 9 ve 10 ile OpenShift Container Platform 4 etkilenmiş durumda ve yama yok; Red Hat, mevcut hafifletmelerin ürün güvenliği ölçütlerini karşılamadığını belirtiyor.
• SUSE: SLES 16.0 ve 15 SP4–SP6 LTSS çekirdekleri düzeltildi, 15 SP7 sürüyor, openSUSE Leap 15.6 ve 16.0 hâlâ etkileniyor.
• Oracle: Oracle Linux 7'den 10'a için Unbreakable Enterprise Kernel errata'sı 16 Ekim'de yayımlandı.
• Amazon: Amazon Linux 2023'ün kernel6.18 ve kernel6.12 çekirdekleri düzeltildi; Amazon Linux 2 ve AL2023'ün varsayılan çekirdeği hâlâ beklemede.

Satıcılar önem derecesi konusunda ayrışıyor. Red Hat, Oracle ve Amazon bunu yüksek saldırı karmaşıklığıyla CVSS 8.1 ile Önemli olarak derecelendiriyor, SUSE önemli olarak adlandırıyor, Ubuntu Yüksek notunu veriyor. Red Hat etkisini öncelikle bir hizmet reddi veya olası bellek bozulması olarak tanımlıyor — ancak Anthropic'in ortaya koyduğu root exploit'i, düşük puanların yamayı geciktirmek için bir gerekçe olmadığını gösteriyor.

Sistemlerinizi nasıl kontrol edersiniz

Kontrolleri container içinde değil, doğrudan host üzerinde çalıştırın: container host'un çekirdeğinde çalışır, dolayısıyla yeni bir image çekmek hiçbir şeyi değiştirmez. Çalışan çekirdeği yukarıdaki dağıtım durumunuzla karşılaştırın ve yeniden başlatmadıkça daha yeni kurulmuş bir çekirdeğin hiçbir işe yaramayacağını unutmayın. ss -M komutu MPTCP soketlerini listeler; boş sonuç, MPTCP dinleyicisi olmadığı — bilinen exploit'in hedeflediği yapılandırma — anlamına gelir. Bunun ötesinde, IPv4 TCP bağlantısı kabul eden her host savunmasız yoldadır: web sunucuları, SSH, veritabanları, load balancer'lar ve Kubernetes node'ları aynı şekilde.

Neden önemli

Bu, internetin en yaygın protokolü üzerinden erişilebilen, her Linux sunucusunun çalıştırdığı kodda yer eden, kimlik doğrulama öncesi bir çekirdek açığı. Upstream düzeltmesi son derece küçük, ama gerçek maruziyet penceresi dağıtım boşluğu: bu haberin hazırlanması sırasında Ubuntu, RHEL ve Amazon'un varsayılan çekirdekleri — dağıtılmış sunucuların büyük bir bölümü — çalışan bir uzaktan-root exploit'i varken yamasız kalmaya devam ediyor. Container operatörleri de aynı derecede açık, çünkü host'lar tek bir çekirdeği paylaşıyor. Hikâye, yapay zekâ destekli güvenlik araştırmaları tartışmasına da somut bir veri noktası ekliyor: bir çekirdek hatası için yapay zekâ ile üretilmiş bir exploit artık varsayımsal değil.