Nebula Security araştırmacıları, GhostLock (CVE-2026-43499) adını verdikleri 15 yıllık bir Linux çekirdeği açığını açıkladı. Bu açık, yama yapılmamış bir makinede oturum açmış herhangi bir kullanıcının tam root kontrolü ele geçirmesine olanak tanıyor.
Güvenlik açığı bulunan kod, 2011'den bu yana neredeyse tüm ana akım dağıtımlarda varsayılan olarak yer alıyor. Açığın tetiklenmesi için özel bir izin, sıra dışı ayarlar veya ağ erişimi gerekmiyor; herhangi bir yerel programdan yapılan sıradan threading çağrıları yeterli.
Nebula, bu açığı testlerinde %97 güvenilirlikle çalışan bir root exploit'ine dönüştürdü ve ayrıca konteynerlerden kaçış da sağlıyor. Google, ekibe kernelCTF hata ödül programı kapsamında 92.337 dolar ödül verdi.
Şu an için bu açığın vahşi ortamda istismar edildiğine dair bir bilgi bulunmuyor. Ancak Nebula, çalışan exploit kodunu yayınladığı için artık herkes bu açığı kullanabilir. Yama yapmak en öncelikli adım.
Açık nasıl çalışıyor?
Çekirdekte, acil bir görevin önemsiz bir görevin arkasında takılıp kalmasını engelleyen bir sistem bulunuyor. Bu sistemin bir parçası, bir görev beklemeyi bıraktıktan sonra temizlik yapan bir adım.
Normalde bu sorunsuz çalışıyor. Ancak nadir bir durumda, bir kilit işlemi çıkmaza girdiğinde ve geri çekilmek zorunda kaldığında, temizlik adımı yanlış zamanda çalışıyor ve yanlış görevin kaydını siliyor.
Bu hata, çekirdeğin daha önce atıp yeniden kullandığı bir bellek parçasını işaret eden bir 'not' tutmasına neden oluyor. Bu eski işaretçiye güvenmek, use-after-free olarak bilinen türden bir hata. Nebula ekibi, bu küçük hatayı tam kontrole dönüştürmek için birkaç akıllı adım zincirleyerek çekirdeği kandırıp kendi kodlarını 'root' kullanıcısı olarak çalıştırmayı başardı. Test makinelerinde bu işlem yaklaşık beş saniye sürdü.
