Red Hat, 9.8 Puanlı Linux TCP RCE Açığını Düzeltirken Ubuntu, Testler İçin Düzeltmeler Yayınladı

Linux kernelinin IPv4 TCP kodundaki bir use-after-free açığı için güncellenmiş çekirdekler artık Red Hat Enterprise Linux 8, 9 ve 10 için mevcut; ancak Ubuntu’nun en yeni üç uzun süreli destek sürümü için yayımladığı düzeltmeler, düzenli bir güncelleme tarihi belirlenmeden yalnızca isteğe bağlı test kanalında yer alıyor.

CVE-2026-98432 olarak takip edilen açık, kimlik doğrulaması gerektirmeyen uzaktan bir saldırgan tarafından kullanılabilir ve uzaktan kod yürütmeye yol açabilir; Red Hat ve Canonical bunu belirtiyor.

Linux kernelinin kendi CVE ekibi, açığı CVSS ölçeğinde 10 üzerinden 9.8 olarak değerlendiriyor. Başta bunu 5.9 ile Orta düzey olarak değerlendiren Red Hat, puanını 9.8’e yükseltti ve artık açığı Kritik olarak niteliyor. Hata Linux 4.4’ten beri mevcut ve yukarı akıştaki düzeltme Ekim ayında geldi.

Açık Nedir

Bir sunucu bir IPv4 TCP bağlantısını kabul ettiğinde, kernel gelen istekten IP seçeneklerini yeni sokete kopyalamadan aktarır. İstemci bağlantı isteğini yeniden gönderirken, başka bir işlemci bu seçenekleri okumaya devam ediyorsa kernel, zaten serbest bırakılmış bir belleği okuyabilir.

Saldırgan, bu yarış durumunu, içinde IPv4 Record Route veya Timestamp seçenekleri taşıyan bağlantı istekleri dinleyen herhangi bir TCP portuna göndererek tetikler. Giriş yapılması gerekmez. Ana yol üzerinde IPv6 etkilenmiyor.

Red Hat, 1 Kasım’da RHSA-2026:93414 (RHEL 8), RHSA-2026:93412 (RHEL 9) ve RHSA-2026:93413 (RHEL 10) numaralı güvenlik güncellemelerini yayımladı. Güncelleme yüklendikten sonra yeniden başlatma gerekiyor.

Canonical, 2 Kasım’da Ubuntu 22.04 LTS, 24.04 LTS ve 26.04 LTS için düzeltmelerin -proposed adlı, isteğe bağlı bir test kanalında olduğunu belirtti. Bu kanaldaki paketler otomatik olarak kurulmuyor.

Canonical, güncellemeleri düzenli güncelleme kanalına yayılamadan önce 2.000’den fazla sertifikalı sunucu ve cihaz üzerinde kernel güncellemelerini test eder ve şu ana kadar bir sürüm tarihi verilmedi.

Düzenli kanal ulaşmadan önce düzeltmeyi isteyen yöneticiler -proposed özelliğini etkinleştirip aşağıdaki komutla kernel güncellemesini kurabilir:

sudo add-apt-repository –component main –pocket proposed https://archive.ubuntu.com/ubuntu
dpkg-query -W -f ‘${source:Package}\t${binary:Package}\n’ | awk ‘$1 ~ “^linux-meta” { print $2 }’ | xargs sudo apt install -t $(. /etc/os-release && echo $VERSION_CODENAME)-proposed –only-upgrade
sudo reboot

Bir sistemin düzeltilmiş kernel çalıştırıp çalıştırmadığını anlamak için uname -r komutunun çıktısı, yukarıdaki tablolaradaki sürümlerle karşılaştırılabilir.

Ubuntu 20.04, 18.04 ve 16.04 için henüz bir düzeltme yok. Daha eski sürümler Ubuntu Pro üzerinden Genişletilmiş Bakım Gerektirir.

Ubuntu için bulut, FIPS ve gerçek zamanlı kernel varyantları, hedef sürümleriyle birlikte Ubuntu CVE sayfasında “yapım aşamasında” olarak listeleniyor; ancak Canonical’ın blog yazısı yalnızca genel kernelı kapsıyor.

Geçici Azaltma

Red Hat, 30 Ekim’de IP seçenekleri taşıyan gelen IPv4 TCP paketlerini silen bir nftables kuralı yayımladı. Red Hat’e göre bu kural, yarışmanın bilinen tetikleyicisini engellerken sömürüyü tamamen önleyemez ve IPv4 seçeneklerine bağlı çalışan yükleri bozabilir.

table inet cve_2026_98432 {
chain input {
type filter hook input priority -310; policy accept;
ip protocol tcp ip hdrlength > 5 counter drop
}
}

Filtre, yalnızca yüklendiği ana makinede geçerlidir. Aynı ana makinedeki konteynırlar arasındaki trafik filtreyi atlayabilir; CIQ kernel ekibinden bir üye, oss-security posta listesinde bunu belirtti.

Birçok kaynak, geçici çözüm olarak Multipath TCP (MPTCP)’yi devre dışı bırakmayı öneriyor. Hata, MPTCP’de değil IPv4 TCP yolunda bulunuyor ve bu öneri baş başına yeterli değil; Canonical, “Ubuntu Güvenlik Ekibi, güvenlik güncellemelerinin tek uygun önlemin olduğuna inanıyor” dedi.

İstismar Durumu

Bu hatayı kullanan saldırılar hakkında hiçbir üretici, CERT ya da kernel CVE ekibi bildirimde bulundu. 30 Ekim tarihinde yayınlanan kataloğa göre, hatanın bilinen istismar edilen açıklar kataloğuna dahil edilmesi.

Anthropic, 27 Ekim tarihinde, yayınlanmamış dahili bir Claude araştırma modelinin, MPTCP dinleyicisi olan Linux sunucularında kimlik bilgisi ve kullanıcı etkileşimi olmadan çalışan, hatayı kullanan uzak kök istismarını yazdığını belirtti. Kanıt kavmiğinde, bir kernel adresi sızdırma 48 dakika sürdü ve kök kabuğa ulaşmak için ayrıca 5 dakika daha gerekiyordu. Anthropic, istismar kodunu yayımlamadı.

Yarışmayı tetikleyen ve kernel’ın SYN-ACK içinde serbest bırakılan belleği yankıladığını algılayan yalnızca kanıt kodu GitHub’da görüldü. Bu kod, kod yürütme uygulamaz.

Amazon Linux, hataya 8.1 puanı verdi ve Önemli olarak derecelendirdi; ana sonucun, olası bellek bozulmasıyla bir çökme olduğunu belirtti. Debian, Oracle Linux ve SUSE, Ekim ayında düzeltmeler yayımladı. Amazon Linux, 24-30 Ekim arasında tüm paketlerde düzeltildi.

operating system security