Linux TCP Açığına Red Hat'ten Kritik Yama, Ubuntu Testlerde Bekliyor

Linux çekirdeğinin IPv4 TCP kodunda bulunan ve CVSS ölçeğinde 9.8 puan alan kritik bir güvenlik açığı için Red Hat Enterprise Linux 8, 9 ve 10 sürümlerine yönelik yamalı çekirdekler kullanıma sunuldu. CVE-2026-98432 koduyla takip edilen açık, kimlik doğrulaması gerektirmeksizin uzak bir saldırganın sisteme uzaktan kod yürütmesine zemin hazırlıyor. Ubuntu'da ise 22.04 LTS, 24.04 LTS ve 26.04 LTS sürümlerine yönelik düzeltmeler, yayın tarihi belirsiz biçimde yalnızca opt-in test kanalında mevcut.

Açık Nasıl Çalışıyor?​

Güvenlik açığı, Linux çekirdeğinin IPv4 TCP bağlantı kurma sürecindeki bir use-after-free hatasından kaynaklanıyor. Bir sunucu gelen IPv4 TCP bağlantı isteğini kabul ettiğinde, çekirdek IP seçeneklerini yeni sokete kopyalamak yerine doğrudan iletiyor. Bu sırada istemci bağlantı isteğini yeniden gönderirse ve bir başka işlemci söz konusu seçenekleri okumaya devam ediyorsa, çekirdek daha önce serbest bırakılmış belleği okuyabiliyor. Saldırgan bu yarış koşulunu tetiklemek için herhangi bir dinleme yapan TCP portuna IPv4 Record Route ya da Timestamp seçenekleri taşıyan bağlantı istekleri göndermesi yeterli; herhangi bir oturum açma bilgisine ihtiyaç duyulmuyor. IPv6, ana yolda bu açıktan etkilenmiyor. Hata Linux 4.4 sürümünden bu yana mevcut olup yukarı akış düzeltmesi Ekim ayında uygulandı.

Red Hat ve Ubuntu'nun Yanıtı​

Red Hat başlangıçta açığı 5.9 puanla Orta düzey olarak değerlendirmiş, ancak daha sonra puanı 9.8'e yükselterek Kritik olarak yeniden sınıflandırmıştır. Şirket 1 Kasım'da RHEL 8, 9 ve 10 için üç ayrı güvenlik erratası yayımladı. RHEL 8.10 için 4.18.0-553.182.1.el8_10 çekirdeği RHSA-2026:93414, RHEL 9.8 için 5.14.0-687.64.1.el9_8 çekirdeği RHSA-2026:93412 ve RHEL 10.2 için 6.12.0-211.72.1.el10_2 çekirdeği RHSA-2026:93413 erratalarıyla sunuldu. Güncellemenin ardından sistemin yeniden başlatılması gerekiyor.
Canonical ise 2 Kasım'da Ubuntu 22.04 LTS (Jammy) için 5.15.0-203.213, Ubuntu 24.04 LTS (Noble) için 6.8.0-149.149 ve Ubuntu 26.04 LTS (Resolute) için 7.0.0-43.43 çekirdek sürümlerini -proposed kanalında yayımladığını duyurdu. Bu kanal, paketlerin otomatik olarak kurulmadığı bir opt-in test ortamı. Canonical, çekirdek güncellemelerini olağan güncelleme kanalına taşımadan önce 2.000'den fazla sertifikalı sunucu ve cihaz üzerinde test ediyor; herhangi bir yayın tarihi açıklanmadı. Ubuntu 20.04, 18.04 ve 16.04 sürümleri için henüz bir düzeltme bulunmuyor; bu eski sürümler Ubuntu Pro aracılığıyla Genişletilmiş Güvenlik Bakımı gerektiriyor.
Düzeltmeyi olağan kanaldan önce almak isteyen Ubuntu yöneticileri -proposed deposunu etkinleştirip çekirdek güncellemesini manuel olarak kurabilir. Sistemin düzeltilmiş bir çekirdeği çalıştırıp çalıştırmadığını doğrulamak için uname -r komutunun çıktısı tablodaki sürümlerle karşılaştırılabilir. Bulut, FIPS ve gerçek zamanlı çekirdek varyantları için Ubuntu CVE sayfasında hedef sürümler belirtilmiş olmakla birlikte Canonical'ın blog gönderisi yalnızca genel çekirdeği kapsıyor.

Geçici Azaltma Yöntemleri​

Red Hat, 30 Ekim'de IPv4 seçenekleri taşıyan gelen TCP paketlerini düşüren bir nftables kuralı yayımladı. Kural, yarış koşulunun bilinen tetikleyicisini engelliyor ancak istismarı tam anlamıyla önleyemiyor ve IPv4 seçeneklerine bağlı iş yüklerini bozabilir. Ayrıca bu filtre yalnızca yüklendiği ana bilgisayara uygulanıyor; aynı ana bilgisayardaki konteynerler arasındaki trafik filtreyi atlayabiliyor. Bazı kaynaklar Multipath TCP'nin (MPTCP) devre dışı bırakılmasını geçici çözüm olarak önermiş olsa da Canonical, açığın IPv4 TCP yolunda bulunduğunu ve MPTCP'de olmadığını belirterek bu önerinin tek başına yeterli olmadığını vurguladı. Canonical'ın güvenlik ekibi, güvenlik güncellemelerinin tek uygun azaltma yöntemi olduğunu açıkladı.

İstismar Durumu ve Kavram Kanıtı​

Herhangi bir satıcı, CERT ya da çekirdek CVE ekibi bu açığın aktif saldırılarda kullanıldığını bildirmedi. Açık, 30 Ekim itibarıyla CISA'nın Bilinen İstismar Edilen Güvenlik Açıkları kataloğunda yer almıyordu. Anthropic ise 27 Ekim'de yayımlanmamış bir dahili Claude araştırma modelinin, MPTCP dinleyicisine sahip Linux sunucularına karşı çalışan, kimlik bilgisi ve kullanıcı etkileşimi gerektirmeyen uzaktan root erişimi sağlayan bir kavram kanıtı geliştirdiğini açıkladı. Bu kavram kanıtında çekirdek adresinin sızdırılması 48 dakika, root kabuğuna ulaşılması ise ek 5 dakika sürdü. Anthropic istismar kodunu kamuoyuyla paylaşmadı. GitHub'da yarış koşulunu tetikleyen ve çekirdeğin serbest bırakılmış belleği SYN-ACK içinde yansıtıp yansıtmadığını tespit eden bir kavram kanıtı kodu yayımlandı; ancak bu kod, kod yürütme işlevi içermiyor. Amazon Linux açığı 8.1 puanla Önemli olarak değerlendirdi ve temel sonucun olası bellek bozulmasıyla birlikte sistem çökmesi olduğunu belirtti. Debian, Oracle Linux ve SUSE düzeltmelerini Ekim ayında yayımladı; Amazon Linux'taki tüm paketler 24-30 Ekim tarihleri arasında güncellendi.

Sıkça Sorulan Sorular​

CVE-2026-98432 açığı tam olarak nedir ve hangi sistemleri etkiliyor?​

CVE-2026-98432, Linux çekirdeğinin IPv4 TCP kodundaki bir use-after-free güvenlik açığıdır. Linux 4.4 sürümünden bu yana mevcut olan hata, IPv4 kullanan TCP bağlantılarını etkiliyor; IPv6 ana yolda etkilenmiyor. Uzak ve kimliği doğrulanmamış bir saldırganın herhangi bir dinleme yapan TCP portuna özel hazırlanmış paketler göndererek uzaktan kod yürütmesine olanak tanıyor.

Red Hat hangi sürümler için yama yayımladı ve ne zaman?​

Red Hat, 1 Kasım'da RHEL 8.10, RHEL 9.8 ve RHEL 10.2 sürümleri için yamalı çekirdekleri içeren üç güvenlik erratası yayımladı. Güncellemenin ardından sistemin yeniden başlatılması gerekiyor.

Ubuntu kullanıcıları düzeltmeye ne zaman ulaşabilecek?​

Ubuntu 22.04 LTS, 24.04 LTS ve 26.04 LTS için düzeltmeler yalnızca -proposed test kanalında mevcut; herhangi bir yayın tarihi açıklanmadı. Ubuntu 20.04, 18.04 ve 16.04 için henüz bir düzeltme bulunmuyor.

Açığı tam olarak kapatmadan önce uygulanabilecek geçici önlem var mı?​

Red Hat, IPv4 seçenekleri taşıyan TCP paketlerini düşüren bir nftables kuralı yayımladı; ancak bu kural istismarı tam olarak engelleyemiyor ve aynı ana bilgisayardaki konteynerler arası trafiği kapsayamıyor. Canonical ise güvenlik güncellemelerinin tek uygun azaltma yöntemi olduğunu belirtti ve MPTCP'yi devre dışı bırakmanın tek başına yeterli olmadığını vurguladı.

Açık aktif saldırılarda kullanılıyor mu?​

Herhangi bir satıcı, CERT ya da çekirdek CVE ekibi bu açığın aktif saldırılarda kullanıldığını bildirmedi. 30 Ekim itibarıyla açık, CISA'nın Bilinen İstismar Edilen Güvenlik Açıkları kataloğunda yer almıyordu. Anthropic, dahili bir araştırma modelinin çalışan bir uzaktan root erişim kavram kanıtı geliştirdiğini açıkladı; ancak bu kod kamuoyuyla paylaşılmadı.