Ubuntu LTS kernel'ları CVSS 9.8 puanlı Linux RCE açığına karşı neredeyse üç haftadır yamalanmamış durumda

Ubuntu LTS kernel'ları hâlâ yamalanmamış durumda

Hacker News'te ortaya çıkan bir rapora göre Ubuntu, CVSS ölçeğinde 9.8 puanla değerlendirilen kritik bir Linux kernel açığı olan CVE-2026-98432 için düzeltilmiş kernel paketlerini hâlâ yayımlamış değil. Raporun 31 Ekim'de yayımlanması itibarıyla neredeyse üç hafta boyunca satıcıdan gelen bir güncelleme olmadı ve 22.04, 24.04 ile 26.04 olmak üzere üç LTS sürümü, hatayı gideren resmî bir kernel'e kavuşamadı.

Yazıda sorun bir zero-day uzaktan kod yürütme (remote code execution) hatası olarak tanımlanıyor ve Ubuntu'nun düzeltmeler için tahmini bir teslim süresi açıklamadığı belirtiliyor.

Açık hakkında bilinenler

Rapor, savunmasız olan kernel alt sistemini adlandırmıyor ya da istismar yolunu ayrıntılarıyla anlatmıyor. Etkilenen sistemlerin CVE'nin mümkün kıldığı saldırıya açık kaldığı konusunda net; ancak istismarın uzaktan mı, yerel mi yoksa her ikisi mi olduğunu belirtmiyor.

Bağlam için belirtmek gerekirse, 9.8 taban puanı CVSS aralığının en tepesinde yer alıyor. Bu kadar yüksek puanlar genellikle ağ üzerinden erişilebilen, ayrıcalık ve kullanıcı etkileşimi gerektirmeyen, gizlilik, bütünlük ve erişilebilirlik üzerinde ciddi etkiye sahip bir hataya işaret eder. Rapor tam CVSS vektör dizisini yayımlamadığı için CVE-2026-98432'nin kesin özellikleri buradan doğrulanamıyor.

En büyük riski kimler taşıyor

Rapora göre bu maruziyet, internete açık sistemler ile çok kiracılı (multi-tenant), self-hosted sistemler için en büyük önemi taşıyor. Bu tür dağıtımlar Ubuntu'nun LTS kernel'larını bir güven sınırı olarak kullanıyor: kiracıları birbirinden ve host'tan ayıran şey kernel olduğundan, kernel seviyesindeki bir kod yürütme hatası bu kurulumların dayandığı izolasyonu zayıflatıyor. Yamalı paketler ortaya çıkana kadar, operatörü el atmıyorsa bu makinelerin her biri etkisiz hale getirilmemiş bir durumda kalıyor.

Yöneticiler için geçici seçenekler

Rapor, Canonical'ı bekleyemeyecek yöneticiler için üç geçici seçenek ortaya koyuyor: stok kernel'de kalıp riski kabul etmek, varsa ağaç dışı (out-of-tree) azaltım yöntemleri uygulamak ya da iş yüklerini yamayı zaten içeren kernel veya sürümlere taşımak. Rapora göre üç LTS sürümünün hiçbiri için düzeltilmiş paket bulunmuyor ve bir zaman çizelgesi verilmediği için bu seçeneklerin hiçbirine bir takvim eşlik etmiyor.

Pratikte yalnızca üçüncü seçenek açığı tamamen ortadan kaldırıyor ve aynı zamanda en yıkıcı olanı da o. İş yüklerini kernel'lar veya dağıtımlar arasında dönem ortasında taşımak gerçek bir operasyonel maliyet getiriyor ve resmî bir geçici çözüm rehberi olmadığından bu dengeyi kurma kararı her yöneticiye kalıyor. Bu hata için uygulanabilir ağaç dışı azaltımların var olup olmadığı ise raporda açık bırakılıyor.

Neden önemli

Ubuntu'nun LTS sürümleri, self-hosted ve bulut altyapısının büyük bir bölümünün varsayılan temeli olmasını tam olarak yıllarca sürdürülen ve zamanında teslim edilen paketler vaadine borçlu. CVSS 9.8 puanlı bir kod yürütme açığının, raporda adı geçen üç LTS sürümünün tamamında neredeyse üç haftadır yamalanmamış durumda olması bu vaadin tersine dönmesi anlamına geliyor — ve haberin Hacker News'in ana sayfasına tırmanması, operatörlerin bunu fark ettiğini gösteriyor.

Bu olay aynı zamanda riskin tek bir satıcının yamalama hattında ne kadar yoğunlaştığının da bir hatırlatması. Düzeltilmiş kernel'lar yayımlanana ya da en azından bir zaman çizelgesi duyurulana kadar, etkilenen her sistemin maruziyeti satıcının tepkisinden çok bireysel geçici çözüm kararlarına bağlı. İnternete açık veya çok kiracılı Ubuntu sunucuları işleten ekipler için kernel sürümlerini şimdi kontrol etmek ve bir taşıma ya da azaltma planı hazırlamak en akılcı adım.