Swati Khandelwal 29 Ekim 2026 Güvenlik / Linux
Linux çekirdeğinin TCP kodundaki bir açık, CVE-2026-98432 olarak izleniyor ve Ubuntu, Red Hat Enterprise Linux (RHEL) ile diğer Linux dağıtımlarını etkiliyor. Çekirdeğin kendi CVE ekibi CVSS ölçeğinde 10 üzerinden 9.8 puan veriyor.
Anthropic, 27 Ekim'de yapay zekâ modelinin bu açığı kullanan bir exploit yazdığını açıkladı. Bu exploit, kimliği doğrulanmamış uzaktan bir saldırganın multipath TCP dinleyicisi olan Linux sunucularında komutları root olarak çalıştırmasına izin veriyor.
29 Ekim itibarıyla Ubuntu ve RHEL henüz düzeltilmiş bir çekirdek yayınlamadı. Red Hat, Amazon, Oracle ve SUSE açığı 5.9 ile 8.1 arasında puanlıyor; bu değer çekirdek ekibinin 9.8'inin altında.
Açık, yeni IPv4 TCP bağlantılarının kurulmasını sağlayan kodda bir yarış durumu. Kernel, zaten serbest bırakılmış belleği okuyabiliyor; bu tür bir hataya use-after-free deniyor.
Çekirdek düzeltmesi, hatayı bildiren kişinin Anthropic araştırmacısı Xinyang Ge olduğunu belirtiyor. Ne CVE kaydı ne de düzeltme multipath TCP (MPTCP) bahsediyor. Bu özellik ile hata arasındaki bağlantı Anthropic'in gönderisinden geliyor.
MPTCP, tek bir bağlantının aynı anda birden fazla ağ yolu kullanmasına izin verir. Linux'ta bir uygulama soketi açarken MPTCP'yi istemelidir.
Anthropic'in gönderisine göre açık "yukarı akışta düzeltildi ve tüm bakımı yapılan kararlı çekirdek dallarına geri taşındı." Dağıtım kullanıcıları için bu düzeltme yalnızca satıcının çekirdek paketinde gelir. Debian, Oracle Linux, SUSE ve Amazon Linux bazı çekirdekleri için düzeltilmiş paketler yayınladı, ancak Ubuntu ve RHEL yayınlamadı.
Düzeltme Yapan Dağıtımlar
Durum 29 Ekim itibarıyla
Düzeltilmiş paket veya danışma
22.04 LTS, 24.04 LTS, 26.04 LTS ve 26.10
Çalışma devam ediyor
Ubuntu 16.04, 18.04 ve 20.04
RHEL 8, 9 ve 10, OpenShift 4
Orta, 5.9 (CVE sayfası)
Önemli, 8.1 (
danışma dosyası)
Amazon Linux 2023, kernel6.18 package
24 Ekim'de düzeltildi
( ALAS2023-2026-3251 )
Amazon Linux 2023, kernel6.12 package
Amazon'un danışmasında 29 Ekim'de düzeltildi; Amazon'un CVE sayfası hâlâ beklemede diyor
( ALAS2023-2026-3335 )
Amazon Linux 2
Amazon Linux 2023, kernel package
Oracle Linux 7, 8, 9 ve 10, UEK kernel
16 Ekim'de düzeltildi
ELSA-2026-500397, ELSA-2026-500398, ELSA-2026-500399
Debian trixie (stable)
Puan listelenmedi
16 Ekim'de düzeltildi
( DSA-6568-1 )
Debian 12 (bookworm)
Puan listelenmedi
17 Ekim ve 22 Ekim'de düzeltildi
( DLA-4841-1 )
( DLA-4850-1 )
SUSE Linux Micro 6.2, openSUSE Leap 16.0
kernel-default 6.12.0-160000.40.1 veya sonrası
SLES 15 SP4 to SP6 LTSS, SLES 16.0, SLE Micro 5.3 to 5.5
SLES 15 SP7
Etkilendi, düzeltme devam ediyor
Ubuntu ayrıca bulut, FIPS ve gerçek zamanlı çekirdeklerini savunmasız veya çalışma devam ediyor olarak listeliyor. Red Hat, düzeltmelerin "gelecek bir güncellemeye ertelendiğini" söylüyor. Ne Red Hat ne de Ubuntu bir yayın tarihi vermiyor.
Hata Nasıl Çalışıyor
Yarış durumu TCP el sıkışması sırasında oluşuyor. Bir bağlantı tamamlandığında kernel, bekleyen istekle saklanan IP seçeneklerini yeni sokete kopyalamadan aktarıyor.
Eğer o soket başka bir CPU hâlâ seçenekleri kullanarak yeniden gönderilen bir bağlantı isteğine yanıt verirken yok edilirse, kernel serbest bırakılmış belleği okur.
IPv6 bu yarıştan etkilenmiyor çünkü kernel IPv6 bağlantıları için seçenekleri kopyalıyor.
Hata Linux 4.4'te tanıtıldı. Çekirdek geliştiricileri 5 Ekim'de bir düzeltme uyguladı; bu tarih CVE'nin yayınlanmasından on gün önce.
Düzeltme, kernelin seçenekleri serbest bırakmadan önce diğer CPU'ların okumayı bitirmesini beklemesini sağlıyor.
Puanların Farklı Olma Nedeni
Çekirdeğin CVE ekibi 9.8 puanını 24 Ekim'de CVE kaydına ekledi; bu, CVE'nin yayınlanmasından dokuz gün sonra.
Puan, saldırganın IPv4 Record Route veya Timestamp seçenekleri taşıyan bir TCP bağlantı isteği gönderip yarışı kazanmaya çalışmak için isteği yeniden gönderdiği varsayımına dayanıyor. Ekip saldırı karmaşıklığını düşük olarak değerlendirdi; yarışın her iki tarafının da "saldırgan kaynaklı" olduğunu söyledi.
Bu durumda ekip, hatanın yakın kernel belleğinin saldırgana gönderilebileceğini, kernel belleğinin bozulabileceğini veya sistemin çökebileceğini belirtiyor.
28 Ekim itibarıyla Ulusal Kırılganlık Veritabanı (NVD) kendi puanını eklemedi ve çekirdek ekibinin 9.8'ini gösterdi. Ubuntu'nun sayfası da aynı puanı gösteriyor.
Red Hat'in CVE sayfası açığı Orta olarak değerlendiriyor ve yarışı kazanmanın zor olduğu gerekçesiyle 5.9 puan veriyor. En olası sonucun kernel çökmesi olduğunu, bellek bozulmasının teorik olarak mümkün olduğunu ve "gizlilik veya bütünlük etkisinin gösterilmediğini" söylüyor.
Red Hat'in 29 Ekim'de güncellenen makine tarafından okunabilir danışma dosyası etkiyi Önemli olarak listeliyor ve açığa 8.1 puan veriyor; gizlilik ve bütünlük etkisi yüksek. Red Hat'in hata izleyicisi aynı gün sorunun ciddiyetini orta seviyeden yükseğe değiştirdi. O gün CVE sayfası Orta ve 5.9'u gösteriyordu.
Oracle ve SUSE de açığa 8.1 puan veriyor ve Red Hat'in danışma dosyası ile aynı CVSS vektörünü kullanıyor. Bu puanlar saldırı karmaşıklığı dışındaki her metrikte çekirdek ekibiyle eşleşiyor; satıcılar saldırı karmaşıklığını yüksek, çekirdek ekibi düşük olarak değerlendiriyor. Amazon 7.0 puan veriyor.
Anthropic Ne Yaptığını Söylüyor
Anthropic, 27 Ekim tarihli bir gönderide yapay zekâ modeli Claude'un bulduğu ve sömürdüğü açıkları anlattı. Hacker News gönderiyi 28 Ekim'de aktardı. Anthropic'e göre Claude exploit'i "ilk istem" sonrasında yazdı.
Exploit iki aşamada çalışıyor. İlk olarak yarış durumu kernelin saldırgana ek baytlar göndermesine neden oluyor. Bu yanıtlardan biri bir kernel adresi içerdiğinde saldırgan KASLR'ı, kernelin bellek adresi rastgeleleştirmesini aşabiliyor.
İkinci olarak aynı hata bir tampon taşması yapıyor ve bir geri arama işaretçisini saldırganın daha önce kernel belleğine yerleştirdiği bir yükün adresiyle üzerine yazıyor. Kernel o işaretçiyi çağırdığında yük, saldırganın seçtiği bir kabuk komutunu root olarak çalıştırıyor.
Kaybedilen bir yarış sadece o bağlantı denemesini başarısız kılar ve sistemi çökertmez, bu yüzden saldırgan denemeye devam edebilir, şirket söyledi. Testinde bir kernel adresinin sızdırılması 48 dakika sürdü ve komut çalıştırılmasına ulaşmak 5 dakika daha aldı.
Gönderi exploit kodunu, kernel sürümünü veya Anthropic'in test ettiği yapılandırmayı içermiyor.
Red Hat, bir uzaktan saldırganın açık bir TCP hizmetine ulaşabilmesi halinde yarışı tetikleyebileceğini söylüyor. Anthropic'in root exploit'i ise multipath TCP dinleyicisi olan sunucuları hedefledi. Gönderi, böyle bir dinleyici olmayan sunucuların aynı şekilde ele geçirilebileceğini söylemiyor.
29 Ekim itibarıyla satıcı danışmaları, CVE kaydı veya Anthropic'in gönderisi açığı kullanan saldırılar bildirmiyor. Açık, Lüksemburg'un CIRCL'inin 28 Ekim'de son güncellediği CISA'nın Bilinen Sömürülen Kırılganlıklar kataloğunun bir kopyasında görünmüyor.
Şimdi Ne Yapılmalı
Dağıtımınız düzeltilmiş bir çekirdek yayınladıysa yükleyin. Yukarıdaki tablo Debian, Oracle Linux, SUSE ve Amazon Linux için paketleri ve danışmaları listeliyor.
Kendi çekirdeğinizi derliyorsanız düzeltme Linux 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 ve 7.3'te bulunuyor. Çekirdeğin CVE ekibi en son kararlı çekirdeğe güncelleme yapılmasını öneriyor. Kernel topluluğunun bireysel düzeltmelerin seçilerek uygulanmasını desteklemediğini söylüyor.
Ubuntu, RHEL ve bazı Amazon Linux ve SUSE sürümlerinde kurulacak düzeltilmiş bir çekirdek yok. Red Hat, mevcut bir hafifletmenin dağıtılması kolay, çoğu kurulum için uygun ve kararlı olma standartlarını karşılamadığını söylüyor. Diğer satıcı danışmalarından hiçbiri bir hafifletme listelemiyor.
Danışmalar ve Anthropic'in gönderisi multipath TCP'nin kapatılmasının veya IP seçenekleri taşıyan gelen bağlantı isteklerinin engellenmesinin riski azaltıp azaltmayacağını söylemiyor.
