Linux çekirdeğinin IPv4 TCP bağlantı işleyişinde bulunan CVE-2026-98432, 30 Ekim 2026’da Red Hat tarafından kritik olarak duyuruldu. Açık, kimlik doğrulama gerektirmeden ağ üzerinden tetiklenebiliyor ve CVSS puanı 9.8 (ön değerlendirme). İnternete açık Linux sunucuları yönetiyorsanız bu açığa zaman ayırmanızı öneririz.
Açık ne yapıyor?
Çekirdekte, tekrar gönderilen bir TCP bağlantı isteği ya da soket taşıma işlemi sırasında oluşan bir zamanlama hatası, bellekte serbest bırakılmış bir alanın hâlâ kullanılmasına yol açıyor (use-after-free). Sonuç öncelikle sistemin çökmesi ve bellek bozulması. Red Hat, saldırının hassas zamanlama gerektirdiğini, ancak uzaktan kod çalıştırma ihtimalini de dışlamadığını belirtiyor. TCP hemen her ağ hizmetinin temeli olduğu için etkilenen yüzey geniş. Dışarıdan gelen TCP bağlantısı kabul eden sistemler en çok risk altında.
Yama durumu (1 Kasım 2026 itibarıyla)
Durum hızla değişiyor. Dağıtımınızın güncel durumunu mutlaka üreticinin güvenlik sayfasından kontrol edin.
- Amazon Linux ve EKS: AWS, Amazon Linux 2 ve 2023 için çekirdek paketlerini yayımladı. EKS için optimize edilmiş Amazon Linux 2023 imajları da güncellendi.
- Debian: Güvenlik takip kaynaklarına göre düzeltilmiş çekirdek paketleri yayımlandı.
- RHEL 8, 9, 10 ve OpenShift: Red Hat düzeltmeleri hızlandırdığını açıkladı. Bültenin yayımlandığı tarihte henüz çıkmış bir yama yoktu.
- Ubuntu: Bildirilen duruma göre düzeltme çalışmaları sürüyor.
“Biz bulutta çalışıyoruz” bir koruma değildir
AWS üzerinde Ubuntu çalıştırıyorsanız Amazon Linux için çıkan güncelleme sizin sunucunuzu düzeltmez. Kendi yönettiğiniz sanal makinelerde çekirdek güncellemesi size aittir. Konteyner ortamlarında da kontrol edilecek yer, konteynerin çalıştığı ana makinenin çekirdeğidir. OpenShift, OpenStack gibi katmanlı ürünlerde de altta çalışan RHEL çekirdeğinin güncel olması gerekir.
Ne yapmalı?
- Envanteri çıkarın. Hangi sunucuda hangi dağıtım ve çekirdek sürümü çalışıyor, hangileri internete açık? İlk sıra internete açık olanlarda.
- Yaması olan sistemlerde güncelleyin ve yeniden başlatın. Canlı yama kullanmıyorsanız çekirdek düzeltmesi, sistem yeniden başlatılmadan etkinleşmez.
- Yaması çıkmamış sistemlerde geçici önlem değerlendirin. Red Hat, IP seçenekleri taşıyan gelen IPv4 TCP paketlerini düşüren bir nftables kuralı öneriyor. Bu kural riski azaltıyor ama açığı tamamen kapatmıyor. Normal uygulama trafiğini genellikle etkilemez, yine de üretime almadan önce kendi ağınızda test edin. Çekirdek güncellendikten sonra kuralı kaldırın. Kuralın tam metni Red Hat bülteninde yer alıyor.
- Yama çıktığında hızlı hareket edin. Hangi sistemin öncelikli olduğunu önceden belirlemiş olmak, olay çıktıktan sonra envanter aramaktan çok daha az zaman kaybettirir.
Kaynaklar: Red Hat Güvenlik Bülteni RHSB-2026-016 ve AWS Güvenlik Bülteni 2026-160-AWS.
Sistem envanteri, yama planlaması ve güvenlik değerlendirmesi konusunda destek almak isterseniz Güvenlik Hizmetlerimizi inceleyebilir ya da bizimle iletişime geçebilirsiniz.
İlgili Yazılar
