Linux çekirdeğinde yıllardır bulunan ve uzaktan kimlik doğrulaması olmadan istismar edilebilen bir TCP açığı, Red Hat tarafından kritik seviyeye yükseltildi. CVE-2026-98432 olarak izlenen hata, saldırgana uzak kod çalıştırma imkânı verebiliyor; Ubuntu tarafında ise düzeltmeler önce test kanalına alındı.
Linux kernel’in kendi CVE ekibi açığı CVSS ölçeğinde 9.8 olarak derecelendirirken, Red Hat ilk değerlendirmesini 5.9’dan 9.8’e çekti ve sınıflandırmayı “Critical” olarak güncelledi. Açığın Linux 4.4 sürümünden bu yana mevcut olduğu, düzeltmenin ise ekim ayında ana çekirdek hattına girdiği belirtildi. Kayıt için NVD bağlantısı: https://nvd.nist.gov/vuln/detail/CVE-2026-98432
IPv4 TCP yolundaki yarış durumu
Hata, bir sunucu IPv4 üzerinden gelen TCP bağlantısını kabul ederken ortaya çıkıyor. Çekirdek, gelen istekteki IP seçeneklerini yeni sokete kopyalamadan aktardığı için, istemci bağlantı isteğini yeniden gönderdiğinde başka bir işlem o seçenekleri hâlâ okuyorsa çekirdek daha önce serbest bırakılmış belleğe erişebiliyor. Bu yarış durumu, IPv4 Record Route ya da Timestamp seçenekleri taşıyan bağlantı istekleriyle herhangi bir dinleyen TCP portuna yöneltilerek tetiklenebiliyor.
Saldırı için oturum açma bilgisi gerekmiyor. Ana yol IPv6’dan etkilenmiyor. Red Hat, zafiyetin mevcut işletim senaryolarında bir çökme yaratabileceğini ve bazı durumlarda uzaktan kod çalıştırmaya kadar ilerleyebileceğini açıkladı. Canonical da aynı zafiyetin kimlik doğrulamasız uzaktan erişimle kullanılabildiğini doğruladı.
Red Hat, 1 Kasım’da RHEL 8, RHEL 9 ve RHEL 10 için güncellemeleri yayımladı. RHSA-2026:93414 RHEL 8.10 için 4.18.0-553.182.1.el8_10 çekirdeğini, RHSA-2026:93412 RHEL 9.8 için 5.14.0-687.64.1.el9_8 çekirdeğini, RHSA-2026:93413 ise RHEL 10.2 için 6.12.0-211.72.1.el10_2 çekirdeğini getiriyor. Güncelleme sonrasında yeniden başlatma gerekiyor.
Ubuntu yamaları test kanalında, üretim yayını bekleniyor
Canonical, 2 Kasım’da Ubuntu 22.04 LTS, 24.04 LTS ve 26.04 LTS için düzeltmelerin “-proposed” deposuna alındığını duyurdu. Bu kanal isteğe bağlı bir test alanı olarak çalışıyor; paketler otomatik kurulmadığı için yönetici onayı gerekiyor.
Şirket, çekirdek güncellemelerini normal kanala açmadan önce 2 binden fazla sertifikalı sunucu ve cihazda sınadığını vurguladı. Ancak üretim deposuna geçiş için tarih vermedi. Ubuntu tarafında 22.04 LTS için 5.15.0-203.213, 24.04 LTS için 6.8.0-149.149 ve 26.04 LTS için 7.0.0-43.43 sürümleri test kanalında görünüyor. 20.04, 18.04 ve 16.04 sürümleri için ise henüz bir düzeltme yok; daha eski sürümler Ubuntu Pro üzerinden Expanded Security Maintenance gerektiriyor.
Ubuntu sunucularında düzeltmeyi erken almak isteyen yöneticiler için Canonical, “-proposed” deposunun etkinleştirilip çekirdek paketinin bu kanaldan yükseltilmesini ve ardından sistemi yeniden başlatmayı öneren komutları paylaştı. Bir sistemin yamalı çekirdek çalıştırıp çalıştırmadığını kontrol etmek için uname -r çıktısının tabloda verilen sürümlerle karşılaştırılması gerekiyor.
Canonical’ın blog notu yalnızca genel çekirdeği kapsıyor. Bulut, FIPS ve gerçek zamanlı çekirdek varyantları ise Ubuntu CVE sayfasında hedef sürümlerle birlikte “work in progress” olarak listeleniyor.
Red Hat ayrıca 30 Ekim’de bir nftables kuralı yayımladı. Bu kural, IP seçenekleri taşıyan gelen IPv4 TCP paketlerini düşürerek bilinen tetikleme yolunu kapatmayı amaçlıyor. Ancak şirket, bunun istismarı tamamen engellemeyeceğini ve IPv4 seçeneklerine dayanan iş yüklerini bozabileceğini belirtti. Kural, yalnızca yüklendiği ana makinede geçerli oluyor.
CIQ çekirdek ekibinden bir üye, aynı ana bilgisayar üzerindeki konteynerler arasındaki trafiğin bu filtreden kaçabileceğini oss-security listesindeki mesajında aktardı. Red Hat’in paylaştığı nftables kuralı şu şekilde:
table inet cve_2026_98432 {
chain input {
type filter hook input priority -310; policy accept;
ip protocol tcp ip hdrlength > 5 counter drop
}
}
Bazı çevreler geçici çözüm olarak Multipath TCP’nin kapatılmasını önerdi. Canonical ise hatanın MPTCP’nin kendisinde değil, IPv4 TCP yolunda bulunduğunu ve yalnızca bu adımın yeterli olmadığını söyledi. Ubuntu Güvenlik Ekibi, uygun tek önlemin güvenlik güncellemesi olduğunu savundu.
İstismarın sahada kullanıldığına dair bir bulgu henüz yok. Ne satıcılar, ne CERT birimleri ne de kernel CVE ekibi bu açıkla ilişkilendirilmiş aktif saldırı bildirdi. Zafiyet, CISA’nın Known Exploited Vulnerabilities kataloğunda da 30 Ekim sürümünde yer almıyordu.
Anthropic ise 27 Ekim’de, yayımlanmamış dahili bir Claude araştırma modelinin bu açık için uzaktan kök yetkisi veren bir exploit ürettiğini açıkladı. Şirketin aktardığına göre bu çalışma, MPTCP dinleyicisi bulunan Linux sunucularında kimlik bilgisi ya da kullanıcı etkileşimi olmadan çalışıyordu. Kanıt çalışmasında bir çekirdek adresini sızdırmak 48 dakika, root shell elde etmek ise ek 5 dakika sürmüştü. Anthropic, exploit kodunu yayımlamadı.
GitHub’da ise yalnızca yarışı tetikleyen ve çekirdeğin SYN-ACK içinde serbest bırakılmış belleği yansıtıp yansıtmadığını kontrol eden örnek kodlar görünmeye başladı. Bu paylaşımlar kod çalıştırma sağlamıyor, yalnızca açığın varlığını doğruluyor.
Amazon Linux, zafiyeti 8.1 puanla ve “Important” seviyesiyle değerlendirdi; ana etkiyi çökme ve olası bellek bozulması olarak tarif etti. Debian, Oracle Linux ve SUSE yamaları ekim ayında dağıttı. Amazon Linux tarafında düzeltmeler 24 ile 30 Ekim arasında tüm paketlere yayıldı.