TCP Use-After-Free Güvenlik Açığı: CVE-2026-98432 / CVSS 9.8

Genel Bakış#

Linux kararlı çekirdek sürümleri, 11 ve 15 Ekim 2026 tarihlerinde CVE-2026-98432 için kritik bir yama yayınladı. Bu zafiyet, kimlik doğrulaması gerektirmeyen uzak bir istemcinin IPv4 TCP el sıkışması (handshake) sırasında tetikleyebileceği bir use-after-free (serbest bırakıldıktan sonra kullanım) hatasıdır. Linux çekirdeği CVE Numaralandırma Otoritesi (CNA), açığı CVSS 3.1 9.8 (Kritik) olarak derecelendirdi. Linux 4.4 sürümüne kadar uzanan bu hata yalnızca dört satırlık bir kod değişikliğiyle giderildi; ancak 31 Ekim itibarıyla Ubuntu ve Red Hat (RHEL 8, 9, 10) gibi popüler dağıtımlarda henüz resmi yama yayınlanmadı.

Yazılım geliştiriciler ve sistem mühendisleri için bu durum kritik bir ders niteliğindedir: Hata, bağlantı henüz uygulama katmanına ulaşmadan önce çekirdek düzeyinde gerçekleşir. Anthropic araştırmacısı tarafından bildirilen açık için Claude modeli, kimlik bilgisi olmadan root yetkisiyle komut çalıştırabilen bir kavram kanıtı (PoC) istismar kodu üretebilmiştir. Özellikle Go programlarının varsayılan olarak multipath TCP dinleyicileri açması, Go ile mikroservis geliştiren ekiplerin altyapı güvenliğini acilen gözden geçirmesini gerektirir.

Temel Bilgiler#

• CVE: CVE-2026-98432, inet_opt ve ireq_opt yapılarının bir RCU bekleme süresinden sonra serbest bırakılması (Linux çekirdeği CNA tarafından yayınlandı).
• Önem Derecesi: Kritik, CVSS 3.1 9.8 (Çekirdek CNA ve Red Hat puanı). SUSE önemli, Ubuntu yüksek, Oracle ve Amazon ise 8.1 (Önemli) olarak derecelendirdi.
• Zafiyet Türü: TCP el sıkışması sırasında IPv4 seçenek verilerinin serbest bırakıldıktan sonra kullanılması (Use-after-free).
• Etki: Çekirdek yığın (heap) içeriğinin sızdırılması, bellek bozulması, sistem çökmesi veya yarış durumu (race condition) istismarıyla uzaktan kod çalıştırma (RCE).
• Düzeltilen Sürümler: 7.2.10 ve 6.18.56 (11 Ekim); 6.12.113, 6.6.159, 6.1.190, 5.15.223 ve 5.10.272 (15 Ekim); 7.3 (18 Ekim).
• Henüz Yamalanmayanlar: 31 Ekim itibarıyla tüm Ubuntu sürümleri ve RHEL 8, 9, 10. AlmaLinux yamaları test aşamasında; 5.10 öncesi ömrünü tamamlamış (EOL) sürümler ise yama almayacak.
• Kavram Kanıtı (PoC): Anthropic, Claude modelinin multipath TCP dinleyicisine sahip sunucular için uzaktan root istismarı geliştirdiğini açıkladı ancak kodu paylaşmadı.
• CVE Kayıtları: 15 Ekim'de cve.org'da yayınlandı; NVD üzerinde 31 Ekim itibarıyla analiz bekliyor olarak listeleniyor.
• Katkıda Bulunanlar: Anthropic'ten Xinyang Ge tarafından bildirildi, Eric Dumazet tarafından düzeltildi ve Kuniyuki Iwashima tarafından incelendi.

Kimler Etkileniyor?#

Linux 4.4 ve sonrasında yamayı içermeyen tüm çekirdekler etkilenmektedir. Geliştiriciler için en önemli pratik çıkarım konteyner güvenliği ile ilgilidir: Konteynerler doğrudan ana makinenin (host) çekirdeğini paylaşır. Dolayısıyla sadece Docker imajını güncellemek bu açığı kapatmaz; ana sunucu çekirdeğinin yamalanması şarttır. IPv6 bağlantıları ise bu ana sorundan etkilenmemektedir.

• 7.3 (Ana Hat): 7.3 sürümünde düzeltildi (18 Ekim 2026)
• 7.2 (Kararlı): 7.2.10 sürümünde düzeltildi (11 Ekim 2026)
• 6.18 (Uzun Süreli): 6.18.56 sürümünde düzeltildi (11 Ekim 2026)
• 6.12 (Uzun Süreli): 6.12.113 sürümünde düzeltildi (15 Ekim 2026)
• 6.6 (Uzun Süreli): 6.6.159 sürümünde düzeltildi (15 Ekim 2026)
• 6.1 (Uzun Süreli): 6.1.190 sürümünde düzeltildi (15 Ekim 2026)
• 5.15 (Uzun Süreli): 5.15.223 sürümünde düzeltildi (15 Ekim 2026)
• 5.10 (Uzun Süreli): 5.10.272 sürümünde düzeltildi (15 Ekim 2026)
• 4.4 – 5.4: Yaşam döngüsü sona erdi (EOL), yama yayınlanmayacak.