Sunucu kabininde rafa monte sunucular ve Linux giriş ekranı gösteren konsol (temsili)

T.C. Siber Güvenlik Başkanlığı (SGB), 30 Ekim 2026'da Linux çekirdeğinin IPv4 TCP bağlantı kurma kodunda yer alan CVE-2026-98432 kodlu açık için TR-26-1422 numaralı Ayrıntılı Güvenlik Duyurusu yayımladı. Parola veya kullanıcı işlemi olmadan, yalnız ağ üzerinden tetiklenmeye çalışılabilen açık için Debian, SUSE, Oracle Linux ve Amazon Linux bazı sürümlerde düzeltme sunarken, Ubuntu ve Red Hat Enterprise Linux tarafında henüz düzeltilmiş bir çekirdek bulunmuyor.

Açığın gerçek saldırılarda kullanıldığına dair üretici, dağıtım veya resmî kurumlardan gelen bir bildirim yer almıyor. Güvenlik açığı ABD siber güvenlik ajansı CISA'nın Bilinen İstismar Edilen Açıklar (KEV) kataloğunda bulunmuyor ve kamuya açık, çalışan bir istismar kodu doğrulanmadı. SGB ise KEV'de yer almamanın açığın istismar edilmediğinin kanıtı olmadığını hatırlatıyor.

Açık nerede ve ne yapabiliyor

Hata, Linux çekirdeğinin IPv4 üzerinden gelen yeni TCP bağlantılarını kabul ettiği el sıkışma aşamasında ortaya çıkıyor. İki işlemci çekirdeğinin aynı bağlantı verisi üzerinde eşzamanlı işlem yapması, yarış durumu kaynaklı bir serbest bırakma sonrası kullanım (use-after-free) sorununa yol açıyor. Bu sırada çekirdeklerden biri bağlantı bilgisini silerken diğeri onu kullanmayı sürdürebiliyor. SGB'ye göre saldırgan, kullanıcı hesabı, parola ya da kullanıcı işlemi olmadan, yalnızca ağ üzerinden özel hazırlanmış bağlantı istekleri göndererek bu durumu tetiklemeye çalışabiliyor.

Açık Linux 4.4 ve sonraki sürümleri etkiliyor. Ana kısım yalnızca IPv4'ü ilgilendiriyor; IPv6 bu kısımdan etkilenmiyor, IPv6'daki benzer bir sorun ayrı bir düzeltmeyle giderilecek. Üst akımda düzeltilmiş sürümler 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 ve 7.3; SGB'ye göre bu listede düzeltilmiş sürümü olmayan diğer dallar için üst akım düzeltmesi yayımlanmadı. Açığı kaydeden Linux çekirdeği CVE ekibine (CNA) göre yarış kazanılırsa çekirdek belleğindeki bilgiler saldırgana gönderilebiliyor, bellek bozulabiliyor ya da sistem çökebiliyor. Bazı dağıtımlar ise pratikte en olası sonucun sistemin çökmesi olduğunu değerlendiriyor.

Laboratuvarda root yetkisi: Anthropic ne gösterdi

Yapay zekâ şirketi Anthropic, 27 Ekim 2026 tarihli araştırma yazısında Claude modelinin, laboratuvar ortamında çok yollu TCP (MPTCP) dinleyicisi bulunan Linux sunucularda kimlik bilgisi ve kullanıcı etkileşimi olmadan root yetkisiyle komut çalıştıran bir istismar yazdığını söyledi; şirketin araştırma süreçlerine dair ayrıntılar Anthropic Frontier Red Team çalışmalarını aktaran önceki haberimizde yer almıştı. Anthropic istismar kodunu, test ettiği çekirdek sürümünü ve yapılandırmayı yayımlamadı; bulgu bağımsız olarak doğrulanmadı ve CVE kaydı ile düzeltme MPTCP'den söz etmiyor. SGB bu sonucu hazırlanmış bir yapılandırmada elde edilmiş bir laboratuvar gösterimi olarak niteliyor ve her Linux sunucusunun aynı biçimde ele geçirilebileceği anlamına gelmediğini vurguluyor.

Go programlama dili güvenlik ekibi ise 29 Ekim'de (ABD saatiyle) yaptığı duyuruda, gösterilen istismar MPTCP dinleyicisi gerektirse de temel hatanın MPTCP'ye özgü olmadığını, MPTCP dinleyicisi bulunmayan sistemlerin de benzer saldırılara açık olabileceğini belirtti. Ekibe göre Go 1.24 ve sonrasıyla derlenen programlar Linux'ta dinleyici soketlerde MPTCP'yi varsayılan olarak açıyor; bu bir ayarla kapatılabiliyor ancak tek bir açık MPTCP dinleyicisi sistemi savunmasız bırakabildiği için kırılgan bir önlem. En iyi çözüm yamalı çekirdek.

Hangi dağıtımda yama var

Açığa verilen 9,8 puan, Linux çekirdeği CVE ekibinin (kernel.org) CVSS 3.1 değerlendirmesi ve kritik sınıfta. ABD Ulusal Güvenlik Açığı Veritabanı (NVD) kendi puanını henüz vermedi; kayıt «Received» durumunda ve NVD'de görünen 9,8 CNA'ya ait. Red Hat, SUSE, Oracle Linux ve Amazon Linux ise yarışın kazanılmasını güç bulup saldırı karmaşıklığını yüksek saydığı için puanı 8,1 olarak hesaplıyor. Ubuntu sayfası CVSS 4.0 ile 8,3 puan ve «High» öncelik gösteriyor. SGB'ye göre bu farklar çelişki değil, değerlendirme farkı.

Dağıtımların 30 Ekim itibarıyla yama durumu şu şekilde sıralanıyor:

Sunucusu olanlar ne yapmalı

SGB, kalıcı çözüm için dağıtımın yayımladığı güvenlik paketinin yüklenmesinin ardından sunucunun mutlaka yeni çekirdekle yeniden başlatılması gerektiğini belirtiyor. Yalnızca paket kurulumu yapmak çalışan çekirdeği güncellemediği için sistem yeniden başlatılana kadar koruma sağlamıyor. Yeniden başlatmanın ardından sistemin düzeltilmiş çekirdekle çalıştığı doğrulanmalı. Dağıtımlar düzeltmeleri kendi çekirdeklerine geriye taşıdığı için sürüm numaraları üst akımla doğrudan karşılaştırılmamalı, dağıtım duyurusu esas alınmalı. Kendi çekirdeğini derleyenlerin düzeltmeyi tek başına uygulamak yerine kullandığı kararlı dalın en güncel sürümüne geçmesi öneriliyor. SGB, internete açık Linux sunucularında düzeltmenin yayımlandığı anda uygulanması gerektiğini vurguluyor.

Ubuntu ve RHEL gibi henüz düzeltme çıkmayan sistemler için SGB, internete açık Linux sunucularının ve IPv4 bağlantı kabul eden hizmetlerin envanterlenmesini, gereksiz dış erişimin sınırlanmasını, MPTCP kullanan hizmetlerin belirlenip gerek yoksa MPTCP'nin kapatılmasını öneriyor; Go 1.24 ve sonrasıyla derlenmiş programlar da bu gözden geçirmeye dahil. Bu önlemler yalnızca gösterilen saldırı yolunu daraltıyor ve kalıcı güncellemenin yerine geçmiyor; hiçbir dağıtım üretici doğrulamalı bir geçici çözüm yayımlamadı. Açıklanamayan çekirdek çökmeleri yaşayan internete açık sistemler incelenmeli; kaybedilen yarış sistemi çökertmediği için çekirdek hata kaydı bulunmaması deneme yapılmadığının kanıtı sayılmıyor. Açığa özgü bir saldırı göstergesi (IP, alan adı, dosya özeti) yayımlanmadı. Ubuntu ve Red Hat'in düzeltilmiş çekirdeği ne zaman yayımlayacağı, MPTCP dinleyicisi olmayan sunucuların laboratuvardaki gibi ele geçirilip geçirilemeyeceği ve Türkiye'deki etki bilinmiyor.

Kaynaklar

Kapak görseli (temsili): sunucu kabininde Linux konsolu; CVE-2026-98432'den etkilenen belirli bir sunucuyu göstermez — Francesco Magno / Wikimedia Commons, CC BY-SA 4.0 (16:9 kırpıldı, 1200×675 küçültüldü).