Linux çekirdeğinde yerel root yetkisi sağlayan dört açık için kamuya açık exploitler yayınlandı.
Swati Khandelwal, 18 Eyl 2026, Güvenlik Açığı / Linux
Bir güvenlik araştırmacısı, her biri yerel bir kullanıcının makinede en üst düzey erişim olan root yetkisi elde etmesini sağlayan dört Linux çekirdeği açığı için çalışan exploit kodu yayımladı.
Çekirdek bakım ekipleri dört açığı da son birkaç hafta içinde düzeltti, bu nedenle güncel bir çekirdek çalıştıran bir sistem etkilenmiyor. Ancak exploit kodu artık kamuya açık ve eski bir çekirdek çalıştıran her makine güncellenmeli.
Açıkların adları DirtyAH6, TUNderflow, PPPoEject ve DiagSpill. Araştırmacı Asim Manizada bunları buldu ve Temmuz ortasında Linux çekirdeği güvenlik ekibine bildirdi.
Linux dağıtımlarıyla koordineli bir bekleme süresinin ardından düzeltmelerin önce yayınlanabilmesi için 18 Eylül’de çalışan exploitlerle teknik bir yazı yayımladı.
Şu ana kadar dört açığın gerçek saldırılarda kullanıldığına dair bir rapor yok. Exploitler Manizada’ya ait, belirli çekirdek derlemelerine göre ayarlanmış ve bir makineyi çökertebiliyor, bu yüzden izole test sistemleri için tasarlanmış.
Yine de kamuya açık exploit kodu paylaşılan sistemlerde riski artırıyor. Yerel ayrıcalık yükseltmesi, saldırganın çok kullanıcılı bir sunucuda düşük yetkili bir hesap gibi zaten bir erişimi olduğu ve tam kontrolü ele geçirmek istediği durumlarda en çok önem kazanıyor.
Neler Etkileniyor
Dört açığın üçüne sıradan bir kullanıcı yalnızca ayrıcalıksız kullanıcı ad alanları etkinleştirildiğinde ulaşabiliyor. Kullanıcı ad alanları, normal bir kullanıcının özel bir kum havuzunun içinde root gibi davranmasını sağlayan bir Linux özelliğidir. Birçok dağıtım bunu varsayılan olarak etkinleştirir ve bu da saldırganın exploitlerin gerektirdiği ağ ayrıcalıklarını elde etmesini sağlar.
Dördüncü açık DiagSpill istisnadır. Sistemde SCTP ağ modülü mevcut olduğu sürece kullanıcı ad alanları veya özel ayrıcalık gerektirmez.
Uzaktan ulaşılabilir mi?
IPsec AH6 (IPv6)
Ayrıcalıksız kullanıcı ad alanları
Sadece çökme ve yalnızca ana bilgisayar IPv6 yönlendiriyorsa ve taşıma modunda bir Kimlik Doğrulama Başlığı ekliyorsa
TUN/TAP sanal ağ cihazları
Ayrıcalıksız kullanıcı ad alanları
Sadece çökme ve yalnızca varsayılan olmayan SCTP seçenekleri açık olduğunda
Manizada ayrıca DirtyAH6 ve DiagSpill açıklarının ikisinin de ağ üzerinden tetiklenebileceğini, ancak yalnızca dar durumlarda ve esas olarak sistemi çökertmek için bulunduğunu tespit etti.
DirtyAH6, IPv6 yönlendirici veya geçidi gibi davranan ve taşıma modunda IPsec Kimlik Doğrulama Başlığı ekleyen bir ana bilgisayarı çökertebilir. DiagSpill, varsayılan olarak kapalı olan belirli SCTP seçenekleri açıldığında bir ana bilgisayarı çökertebilir.
Manizada, DirtyAH6 ile uzaktan root’a yalnızca kendi laboratuvarında ve hedefte önce belleği şekillendirerek ulaşabildi. Bunu uzaktan tek başına yapmanın “son derece zor görünüyor” diye yazdı, ancak bunu dışlamadı. DiagSpill için ise mükemmel bellek şekillendirmesiyle bile uzaktan root’a bir yol görmediğini söyledi.
Ayrıca açıkların teorik olarak bir saldırganın kapsayıcıdan kaçmasına izin verebileceğini, ancak bunun için bir örnek oluşturmadığını da söyledi.
Ne Yapılmalı
Dört düzeltmenin tamamını taşıyan bir çekirdeğe güncelleyin. Tam setin bulunduğu ilk kararlı çekirdek sürümleri şunlardır:
Bunlar ana Linux çekirdeği projesinden gelen sürüm numaralarıdır. Çoğu kişi Debian, Ubuntu, Red Hat veya SUSE gibi bir dağıtımın çekirdeğini kullanır ve bu dağıtımlar kendi sürüm numaralarını kullanır ve düzeltmeleri kendi programlarına göre ekler. Sayıların üstünde eşleşmek yerine, dağıtımınızın güvenlik duyurusunu kontrol ederek dört açığın da dahil olduğu bir güncellemenin gönderildiğini doğrulayın.
Hemen yama yapamıyorsanız riski azaltan iki adım var:
Ayrıcalıksız kullanıcı ad alanlarını kapatın. Bu, DirtyAH6, TUNderflow ve PPPoEject’e sıradan kullanıcı yolunu kapatır. DiagSpill’i durdurmaz ve zaten ağ-yönetici ayrıcalığına sahip bir kapsayıcı veya süreci durdurmaz.
Kullanmıyorsanız etkilenen özellikleri kapatın: AH6, TUN/TAP, PPPoE ve SCTP.
Manizada, aynı açıklara başka yolların da olabileceği için özellikleri kapatmak yerine yamalamayı öneriyor.
Açıklar Nasıl Çalışıyor
Dört açık da çekirdeğin ağ kodunun farklı bölümlerinde bellek güvenliği hatasıdır. Her biri bir saldırganın çekirdek belleğini bozmasına izin verir ve Manizada bunu root kabuğu elde etmek için kullandı. Temel hatalar eski, 10 ila 21 yıl arasında değişiyor.
DirtyAH6, IPv6 Kimlik Doğrulama Başlığını işleyen IPsec kodundadır. Kod, yönlendirme başlığı alanını mevcut adres sayısıyla doğrulamadan güvendi, bu yüzden hazırlanmış bir paket içsel bir işaretçinin sınırların çok uzağına gitmesine ve tamponun dışına yazmasına neden oldu.
TUNderflow, TUN ve TAP sanal ağ cihazlarındadır. Tek bir değer hem boş alan hem de boyut olarak kullanıldı ve Open vSwitch üzerinden gönderilen aşırı büyük bir değer boyut hesaplamasının taşmasına neden oldu, böylece paket verileri tamponunun dışına yerleşti.
PPPoEject, PPP over Ethernet kodundadır. Cihaz yordamını çağırırken ağ tamponuna bir işaretçi tuttu ve bu yordam tamponu serbest bırakıp taşıyabiliyordu, sonraki yazmalar ise serbest bırakılmış belleği kullandı; bu hataya use-after-free denir.
DiagSpill, SCTP raporlama kodundadır. Bağlantı uç noktalarını izleyen sayaç yalnızca 16 bit genişliğinde olduğundan, 65.536’ıncı uç nokta sayacı sıfıra döndü. Raporlama kodu ardından alan ayırmadı ancak tam listeyi kopyaladı ve tamponun sonunun yaklaşık 8 MiB ötesine veri yazdı.
Yapay Zeka Destekli Bir Süreç
Manizada, çekirdeğin belleği nasıl işlediğine dair bir harita oluşturan ve yerleşimi hakkında akıl yürüten yapay zeka destekli bir süreçle dört açığı bulduğunu söyledi. DirtyAH6 için çekirdeğin düzeltmesi bunu kaydeder: commit, özel yapay zeka araçlarını kredilendiren bir “Assisted-by” satırı içerir.
Bu, 2026 boyunca açıklanan Linux çekirdeği ayrıcalık yükseltme açıkları serisinin en yenisi; birkaç tanesi büyük dil modellerinin yardımıyla bulundu. Manizada Temmuz’da benzer bir Open vSwitch açığı olan OVSwrap’ı açıkladı.
Yeni exploitlerden biri, Mayıs ayında farklı bir araştırmacı tarafından açıklanan başka bir Linux çekirdeği root açığı olan Dirty Frag’tan bir tekniği yeniden kullanıyor. Yazısında Manizada, bu grubun yapay zeka destekli hata avcılığının kamuya açık aşamasını muhtemelen sonlandırdığını söyledi.
