TR-26-1422 - Linux Çekirdeği IPv4 TCP Ayrıntılı Güvenlik Duyurusu (CVE-2026-98432)

[Toplama Pc]

1. Genel Bilgi

Linux, dünyanın farklı yerlerindeki geliştiricilerin katkısıyla geliştirilen açık kaynaklı bir işletim sistemidir. Bu sistemin en temel parçası olan Linux çekirdeği, bilgisayarın donanımını, çalışan programları ve ağ bağlantılarını yöneten yazılımdır. İnternetten gelen bir bağlantının kabul edilmesi gibi işlemler doğrudan çekirdek tarafından yürütülmektedir. Linux çekirdeği farklı türdeki işlemcilerde çalışabilmektedir.2

Kurumlar ve kullanıcılar Linux çekirdeğini çoğunlukla Red Hat Enterprise Linux, Ubuntu, Debian, SUSE, Oracle Linux veya Amazon Linux gibi dağıtımlar aracılığıyla kullanmaktadır. Bu dağıtımlar çekirdeği kendi güncelleme paketleriyle sunmakta ve güvenlik düzeltmelerini kendi takvimleriyle yayımlamaktadır.5 6 7 8 9 10

CVE-2026-98432 kodu ile takip edilen zafiyet, çekirdeğin IPv4 üzerinden gelen yeni bir TCP bağlantısını kabul ettiği bağlantı kurma aşamasında bulunmaktadır. IPv4, internete bağlı cihazlara adres veren ve verileri bu adreslere göre ileten temel kurallar bütünüdür. TCP ise iki cihaz arasında önce bir bağlantı kurarak verinin eksiksiz ve doğru sırayla ulaşmasını sağlamaktadır. CVE kodları, farklı zafiyetlerin birbirine karıştırılmadan tanımlanmasını sağlayan benzersiz kimliklerdir. Bağlantı kurulurken çekirdek, bağlantıya ait bazı ek bilgileri bellekte tutmaktadır. Bilgisayarın iki farklı işlemci çekirdeği aynı anda bu bilgiyle çalıştığında, bilgi bir taraf tarafından silinmişken diğer taraf onu kullanmaya devam edebilmektedir. Saldırgan bu durumu kullanıcı hesabına, parolaya veya kullanıcının herhangi bir işlem yapmasına ihtiyaç duymadan, yalnızca ağ üzerinden özel hazırlanmış bağlantı istekleri göndererek tetiklemeye çalışabilmektedir.1

Zafiyeti yayımlayan ekibe göre olası sonuçlar; çekirdek belleğindeki bilgilerin saldırgana gönderilmesi, belleğin bozulması ve sistemin çökmesidir. Bazı Linux dağıtım sağlayıcıları ise pratikteki en olası sonucun sistemin çökmesi olduğunu değerlendirmektedir.1 5 Zafiyeti bildiren araştırma ekibi, laboratuvar ortamında “çok yollu TCP” adlı bağlantı özelliğini kullanan bir sunucuda saldırganın sisteme hiçbir kimlik bilgisi olmadan bağlanarak en yüksek yetkiyle (root) istediği komutları çalıştırabildiğini göstermektedir. Bu sonuç hazırlanmış bir yapılandırmada elde edilmiş laboratuvar gösterimidir ve her Linux sunucusunun aynı biçimde ele geçirilebileceği anlamına gelmemektedir. Bununla birlikte Go programlama dili projesinin güvenlik ekibi, temel hatanın bu özelliğe özgü olmadığını ve özelliği kullanmayan sistemlerin de benzer saldırılara açık olabileceğini belirtmektedir.11 12

Zafiyetin gerçek saldırılarda kullanıldığına ilişkin üretici, dağıtım sağlayıcısı veya resmî kurum tarafından yapılmış bir bildirim bulunmamaktadır. Zafiyet, CISA'nın gerçek saldırılarda kullanıldığı bilinen zafiyetler kataloğunda yer almamaktadır.13 15 Zafiyetin ana kısmı yalnızca IPv4 bağlantılarını etkilemekte, IPv6 bağlantıları bu kısımdan etkilenmemektedir.1

Kalıcı çözüm, kullanılan Linux dağıtımının yayımladığı düzeltilmiş çekirdek paketinin kurulması ve sistemin bu çekirdekle yeniden başlatılmasıdır. Çekirdek güncellemesi, sistem yeni çekirdekle çalışmaya başlamadan etkili olmamaktadır. Debian, SUSE, Oracle Linux ve Amazon Linux bazı sürümleri için düzeltmeleri yayımlamıştır. Red Hat Enterprise Linux ve Ubuntu için ise rapor tarihi itibarıyla düzeltilmiş çekirdek sürümü yayımlanmamıştır. Bu sistemlerde internete açık sunucuların belirlenmesi ve düzeltme yayımlandığında hemen kurulması için hazırlık yapılması önem taşımaktadır.5 6 7 8 9 10 15

2. Teknik Detaylar

2.1. Temel Bilgiler

Üretici / Vendor: Linux çekirdeği projesi (açık kaynak). Dağıtım çekirdekleri için ilgili Linux dağıtımı (Linux distribution) sağlayıcıları.

CVE Numaralandırma Yetkilisi (CVE Numbering Authority, CNA): kernel.org (Linux çekirdeği CVE ekibi)

Ürün: Linux çekirdeği (kernel)

Bileşen: IPv4 TCP uygulaması; net/ipv4/tcp_ipv4.c ve net/ipv4/af_inet.c dosyalarındaki tcp_v4_syn_recv_sock() ve tcp_v4_reqsk_destructor() işlevleri1

Zafiyet Türü:

• Yarış durumu (race condition) kaynaklı serbest bırakma sonrası kullanım (use-after-free)
• Koşullu uzaktan kod yürütme (Remote Code Execution, RCE)

CWE: CWE-825: Expired Pointer Dereference

Etkilenen Servis / Özellik: IPv4 üzerinden gelen iletim kontrol protokolü (Transmission Control Protocol, TCP) bağlantılarının kurulması sırasında IP seçeneklerinin (IP options) işlenmesi. İkinci yol olarak, istek soketlerinin (request socket) dinleyiciler (listener) arasında taşınması. Bu yol yalnızca net.ipv4.tcp_migrate_req=1 ayarında veya BPF_SK_REUSEPORT_SELECT_OR_MIGRATE türünde bir eBPF programı kullanıldığında etkin olmaktadır.1 4 6

İstismar Ön Koşulu: Saldırganın hedef sistemdeki bir IPv4 TCP dinleyicisine ağ üzerinden erişebilmesi ve yarış durumunu elde etmesi. Laboratuvarda gösterilen root yetkileriyle komut yürütme, çok yollu TCP (Multipath TCP, MPTCP) dinleyicisi bulunan bir sunucuda elde edilmiştir.1 12

Saldırı Vektörü: Ağ

Kullanıcı Etkileşimi: Gerekmiyor

Gerekli Ayrıcalıklar: Gerekmiyor

Etkilenen Sürümler: Linux 4.4 ve sonrası; düzeltilmiş sürümlerden önceki 5.10.x (5.10.272 öncesi), 5.15.x (5.15.223 öncesi), 6.1.x (6.1.190 öncesi), 6.6.x (6.6.159 öncesi), 6.12.x (6.12.113 öncesi), 6.18.x (6.18.56 öncesi), 7.2.x (7.2.10 öncesi) ve 7.3 öncesi ana geliştirme sürümleri. Bu listede düzeltilmiş sürümü bulunmayan 4.4 ve sonrası diğer dallar için üst akım (upstream) düzeltmesi yayımlanmamıştır.1

Minimum Güvenli Sürüm: Üst akım çekirdeklerde kullanılan dal için sırasıyla 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 veya 7.3.1 Dağıtım çekirdeklerinde ilgili dağıtımın düzeltilmiş paketi esas alınmalıdır (5. bölüm).

Güncel Önerilen Sürüm: Dağıtım çekirdeği kullanan sistemlerde dağıtım sağlayıcısının yayımladığı en güncel düzeltilmiş çekirdek paketi. Kendi çekirdeğini derleyen sistemlerde kullanılan kararlı dalın en güncel sürümü. Ubuntu, düzeltmenin tek başına seçilerek uygulanmamasını önermektedir.6 Tek bir güncel önerilen üst akım sürüm numarası doğrulanamamıştır.

Aktif İstismar Durumu: Gerçek dünya istismarı için kamuya açık güvenilir kaynaklarda doğrulanmış bilgi bulunmamaktadır. Zafiyeti bildiren araştırma ekibinin laboratuvarda geliştirdiği ve kamuya açmadığı çalışan bir istismar kodu bulunmaktadır.12 15

2.2. Zafiyet Tanımı

Bir IPv4 TCP el sıkışması (TCP handshake) tamamlandığında tcp_v4_syn_recv_sock() işlevi, bekleyen bağlantı isteğinde saklanan IP seçeneklerinin (ireq->ireq_opt) sahipliğini kopyalama yapmadan yeni oluşturulan alt sokete (child socket) devretmektedir. Aynı anda başka bir CPU, aynı istek soketi için yeniden gönderilmiş bir SYN paketini işleyerek bu seçeneklerle SYNACK yanıtı oluşturabilmektedir. Bu işlem yalnızca RCU okuma kilidi altında yapılmaktadır. Alt soket bu sırada serbest bırakılırsa seçenekler düz kfree() ile serbest bırakılmakta ve hâlâ kullanımdaki bellek serbest bırakma sonrası kullanıma uğramaktadır. Ubuntu, sorunun ip_options_build() işlevinde ortaya çıktığını belirtmektedir.1 6

Benzer bir yarış durumu, istek soketlerinin dinleyiciler arasında taşınmasında da bulunmaktadır. Bu durumda kopyalanan istek soketleri aynı seçenekleri paylaşmakta ve tcp_v4_reqsk_destructor() de düz kfree() kullanmaktadır. Bu taşıma yolu, varsayılan değeri 0 (kapalı) olan net.ipv4.tcp_migrate_req ayarının açılmasını veya ilgili eBPF programının kullanılmasını gerektirmektedir.1 4

CNA'nın değerlendirme senaryosu, kimliği doğrulanmamış saldırganın (unauthenticated attacker) SYN paketi içinde özel hazırlanmış IPv4 seçenekleri göndererek zafiyeti tetiklediğini varsaymaktadır. İkincil kaynakta bu seçeneklerin Record Route veya Timestamp türünde olduğu aktarılmaktadır.1 15 IPv6 tarafında tcp_v6_syn_recv_sock() seçenekleri kopyaladığından ilk yarış durumu IPv6'yı etkilememektedir. IPv6'daki taşıma kaynaklı benzer sorunun ayrı bir düzeltmeyle giderileceği belirtilmektedir.1

Düzeltme, ilgili serbest bırakma işlemlerini kfree_rcu() ile RCU bekleme süresinin (RCU grace period) sonrasına taşımaktadır. Böylece eşzamanlı okuyucular işlerini tamamlamadan bellek serbest bırakılmamaktadır.1

2.3. Zayıflıklar

CNA kaydında ve NVD verisinde bu zafiyete atanmış bir CWE (yazılım ve donanım zayıflık türlerinin ortak sınıflandırması) bulunmamaktadır. Red Hat sayfasında ise bu bilgi "CWE-825: Expired Pointer Dereference" olarak belirtilmektedir.1 5 13

Kaynaklarda tanımlanan kusur, paylaşılan bir bellek nesnesinin eşzamanlı okuyucular varken RCU bekleme süresi gözetilmeden serbest bırakılmasıdır. Bu durum yarış durumu ile serbest bırakma sonrası kullanımın birlikte ortaya çıkmasına yol açmaktadır.1

MITRE ATT&CK eşlemesi için kamuya açık güvenilir kaynaklarda doğrulanmış bilgi bulunmamaktadır.

2.4. Etkiler

CNA'ya göre yarışın kazanılması; SYNACK yanıtıyla bitişik çekirdek belleğindeki verilerin saldırgana gönderilmesine yol açan bilgi ifşasına (information disclosure), sınır dışı yazmaya (out-of-bounds write) ve çekirdeğin çökmesine neden olabilmektedir.1 15 Red Hat ise gizlilik ve bütünlük etkisinin gösterilmediğini, pratikteki en kötü sonucun hizmet dışı bırakma (Denial of Service) olduğunu değerlendirmektedir.5

Zafiyeti bildiren araştırma ekibi, laboratuvarda MPTCP dinleyicisi bulunan bir sunucuda kimlik bilgisi ve kullanıcı etkileşimi olmadan root yetkileriyle (root privileges) komut yürütmenin mümkün olduğunu bildirmektedir. Ekip, test edilen çekirdek sürümünü, yapılandırmayı ve istismar kodunu yayımlamamıştır. CVE kaydı ve düzeltme MPTCP'den söz etmemektedir.12 15 Go projesinin güvenlik ekibi, temel hatanın MPTCP'ye özgü olmadığını ve MPTCP dinleyicisi bulunmayan sistemlerin de benzer saldırılara açık olabileceğini belirtmektedir.11 Bu nedenle uzaktan kod yürütme, gösterilmiş fakat yapılandırmaya bağlı bir sonuç olarak değerlendirilmelidir.

Başarılı istismarın olası operasyonel sonuçları şunlardır:

• İnternete açık sunucunun çekirdek çökmesiyle hizmet dışı kalması,
• Çekirdek belleğinden bilgi sızdırılması,
• Gösterilen yapılandırmada sistemin root yetkileriyle ele geçirilmesi ve sunucudaki veri, yapılandırma ve hizmetlerin yetkisiz değiştirilmesi.

2.5. Sömürü Durumu

Aktif exploit var mı?: Araştırmacı beyanına göre evet. Çalışan istismar kodu kamuya açılmamış ve bağımsız olarak doğrulanmamıştır.12 15

PoC var mı?: Kamuya açık kavram kanıtı (Proof of Concept, PoC) doğrulanamamıştır. İkincil kaynakta bağımsız bir yeniden üretim ortamının yayımlandığı bildirilmektedir.16

Gerçek dünya istismarı var mı?: Kamuya açık güvenilir kaynaklarda doğrulanmış bilgi bulunmamaktadır.15

CISA İstismar Edildiği Bilinen Zafiyetler (Known Exploited Vulnerabilities, KEV) durumu: Katalogda yer almamaktadır.13 15

CISA Paydaşlara Özgü Zafiyet Sınıflandırması (Stakeholder-Specific Vulnerability Categorization, SSVC) durumu: İlgili resmî kaynakta yayımlanmış bilgi bulunmamaktadır.1

Zaman Çizelgesi:

• 15.10.2026: Linux çekirdeği CNA'sı CVE-2026-98432 kaydını yayımladı.1
• 16.10.2026: Oracle Linux 7, 8, 9 ve 10 için düzeltilmiş UEK çekirdek paketleri yayımlandı.8
• 24.10.2026: Amazon Linux 2023 kernel6.18 paketi için düzeltme yayımlandı.10
• 27.10.2026: Zafiyeti bildiren araştırma ekibi, MPTCP dinleyicisi bulunan sunucuya yönelik laboratuvar istismar kodunu tanımlayan araştırmasını yayımladı.12
• 29.10.2026: SUSE, düzeltmeleri içeren SUSE-SU-2026:24386-1 ve SUSE-SU-2026:24422-1 duyurularını yayımladı.7

Rapor tarihi itibarıyla zafiyetle ilgili kanıt, laboratuvarda gösterilmiş bir istismar düzeyindedir. Sensör gözlemi, istismar girişimi veya gerçek bir üretim sisteminin ele geçirilmesine ilişkin yayımlanmış veri bulunmamaktadır. Araştırma ekibinin bildirdiğine göre kaybedilen bir yarış yalnızca ilgili bağlantı denemesini başarısız kılmakta, sistemi çökertmemektedir. Bu nedenle saldırgan denemeyi sınırsız biçimde yineleyebilmektedir. Aynı özellik, başarısız denemelerin çekirdek hata kayıtlarında iz bırakmayabileceği anlamına da gelmektedir.12

KEV kataloğunda yer almamak, zafiyetin istismar edilmediğinin kanıtı değildir. Laboratuvar istismar kodu kamuya açıklanmamıştır. Ancak kök neden, düzeltme ve istismar yaklaşımı kamuya açık biçimde tanımlanmıştır.

Güvenli PoC Özeti:

1. Kimliği doğrulanmamış uzaktaki saldırgan, MPTCP dinleyicisi bulunan sunucuya yarış durumunu tetikleyen bağlantı istekleri göndermektedir.
2. İlk aşamada yarışın kazanılmasıyla çekirdek, yanıt paketinde fazladan bellek içeriği göndermektedir. Bu içerikte yer alan bir çekirdek işaretçisiyle çekirdek adres alanı düzeni rastgeleleştirmesi (Kernel Address Space Layout Randomization, KASLR) uzaktan aşılmaktadır.
3. İkinci aşamada aynı zafiyet bir tampon taşmasına (buffer overflow) dönüştürülmekte ve bir geri çağırma işaretçisinin (callback pointer) üzerine yazılarak kontrol akışının ele geçirilmesi (control flow hijacking) sağlanmaktadır. Sonuçta saldırganın seçtiği komut root yetkileriyle çalışmaktadır. Araştırmacının testinde ilk aşama yaklaşık 48 dakika, ikinci aşama yaklaşık 5 dakika sürmüştür.

Kaynak sınıflandırması: Zafiyeti bildiren araştırma ekibinin laboratuvarda geliştirdiği çalışan istismar kodu. Kamuya açık değildir; test edilen sürüm ve yapılandırma bilgisi yayımlanmamıştır.12

Vendor/CNA doğrulama seviyesi: CNA kaydı ve düzeltme, istismar kodunu veya MPTCP koşulunu doğrulamamaktadır. Bildirimin bağımsız doğrulaması bulunmamaktadır.1 15

3. Risk Değerlendirmesi

Linux CNA — Ortak Zafiyet Puanlama Sistemi (Common Vulnerability Scoring System, CVSS) v3.1: 9.8 (Kritik)
Vektör: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H1 13

• Saldırı vektörü: Ağ (N)
• Saldırı karmaşıklığı (Attack Complexity): Düşük (L)
• Gerekli yetkiler (Privileges Required): Yok (N)
• Kullanıcı etkileşimi (User Interaction): Yok (N)
• Kapsam (Scope): Değişmez (U)
• Gizlilik (Confidentiality): Yüksek (H)
• Bütünlük (Integrity): Yüksek (H)
• Erişilebilirlik (Availability): Yüksek (H)

Dağıtım sağlayıcılarının kendi ürünleri için yayımladığı değerlendirmeler:

• Red Hat — CVSS v3.1: 5.9 (Moderate); CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H5
• SUSE — CVSS v3.1: 8.1; CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H7
• SUSE — CVSS v4.0: 9.2; CVSS:4.0/AV:N/AC:L/AT/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N7
• Oracle Linux — CVSS v3.1 (ön değerlendirme): 8.1; CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H8
• Amazon Linux — CVSS v3.1: 8.1; CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H10
• Ubuntu güvenlik sayfası — CVSS v4.0: 8.3; CVSS:4.0/AV:N/AC:L/AT/PR:N/UI:N/VC:L/VI:L/VA:H/SC:N/SI:N/SA:N. Sayfa bu değerlendirmeyi yapan tarafı belirtmemektedir.6

Farklı yayıncıların değerlendirmeleri arasındaki farklar çelişki olarak değerlendirilmemektedir. CNA saldırı karmaşıklığını düşük olarak değerlendirmektedir, çünkü yarışın her iki tarafı da saldırgan tarafından tetiklenebilmektedir. Dağıtım sağlayıcılarının çoğu ise yarışın kazanılmasının güç olduğunu dikkate alarak yüksek değer vermektedir.1 15 Red Hat değerlendirmesi gizlilik ve bütünlük etkisini “Yok” olarak işaretlemektedir. Laboratuvarda gösterilen root yetkileriyle komut yürütme bu değerlendirmeden sonra kamuya açıklanmış bir bulgudur. NVD bu zafiyet için kendi değerlendirmesini yayımlamamıştır ve NVD'de görüntülenen 9.8 değerlendirmesi CNA'ya aittir.13

İstismar Tahmin Puanlama Sistemi (Exploit Prediction Scoring System, EPSS):

• EPSS: %0,388
• Yüzdelik dilim (percentile): %32,813
• Veri tarihi: 29.10.2026
• Doğrulama tarihi: 30.10.2026

EPSS değeri zafiyetin sonraki 30 gün içinde istismar edilme olasılığına ilişkin istatistiksel bir tahmindir. Aktif istismar kanıtı veya kurumsal risk derecesi değildir.14

CISA KEV kaydı bulunmamaktadır. CVE kaydında CISA yetkili veri yayıncısı (Authorized Data Publisher, ADP) kapsamında yayımlanmış SSVC, CVSS veya CWE zenginleştirmesi yer almamaktadır.1 13

Zafiyet ağ üzerinden kimlik doğrulaması olmadan tetiklenebilmektedir. İnternetten bağlantı kabul eden her IPv4 TCP hizmetini barındıran çekirdeği etkilemektedir. Root yetkileriyle uzaktan kod yürütme laboratuvarda gösterilmiştir. Yaygın kullanılan iki dağıtımda da düzeltme henüz yayımlanmamıştır. Bu etkenler birlikte değerlendirildiğinde, internete açık Linux sunucularında düzeltmenin yayımlandığı anda uygulanması gerekmektedir. Öte yandan gerçek saldırı bildirimi ve kamuya açık istismar kodu bulunmaması, mevcut kanıt düzeyinin laboratuvar gösterimiyle sınırlı olduğunu göstermektedir.

4. Etkisizleştirme (Mitigation)

Red Hat, kendi kolay uygulanabilirlik, geniş uygulanabilirlik ve kararlılık ölçütlerini karşılayan bir etkisizleştirme yönteminin bulunmadığını belirtmektedir. İncelenen diğer dağıtım duyurularında da geçici çözüm (workaround) yayımlanmamıştır.5 15

Go projesinin güvenlik ekibi, Go 1.24 ve sonrası ile derlenen programların Linux'ta dinleyici soketler (socket) için MPTCP'yi varsayılan olarak etkinleştirdiğini belirtmektedir. Ekip, bu programlarda MPTCP'nin çalışma anında GODEBUG=multipathtcp=0 ortam değişkeniyle veya derleme anında go.mod dosyasına godebug multipathtcp=0 satırı eklenerek kapatılabileceğini bildirmektedir. Aynı ekip, bu önlemin kırılgan olduğunu da vurgulamaktadır. Tek bir açık MPTCP dinleyicisinin sistemi savunmasız bırakacağını ve önlemin bütün istismar yollarının MPTCP'ye bağlı olduğu varsayımına dayandığını belirtmektedir.11

Güncelleme hemen uygulanamıyorsa aşağıdaki genel savunma kontrolleri değerlendirilebilir. Bu kontroller üretici tarafından doğrulanmış geçici çözüm değildir:

• İnternete açık Linux sunucularının ve bu sunucularda IPv4 üzerinden bağlantı kabul eden hizmetlerin envanterlenmesi ve gerekli olmayan dış erişimin sınırlandırılması.
• MPTCP soketi açan hizmetlerin belirlenmesi ve ihtiyaç bulunmuyorsa MPTCP kullanımının kapatılması. MPTCP, uygulamanın açıkça talep etmesiyle etkinleşmektedir, ancak mptcpize gibi araçlarla uygulamalar MPTCP kullanmaya zorlanabilmektedir.3 Bu önlem gösterilen saldırı yolunu daraltmakta, zafiyeti gidermemektedir.11
• net.ipv4.tcp_migrate_req ayarının varsayılan değeri olan 0'da bırakılması ve gerekmedikçe BPF_SK_REUSEPORT_SELECT_OR_MIGRATE türünde eBPF programı kullanılmaması. Bu önlem yalnızca istek soketi taşıma yolunu kapatmaktadır.1 4
• İnternete açık hizmetlerde gereksinim bulunmuyorsa, IPv4 seçenekleri içeren gelen paketlerin sınır güvenlik duvarında engellenmesinin kontrollü ortamda test edildikten sonra değerlendirilmesi. Hiçbir üretici bu önlemin zafiyeti engellediğini doğrulamamıştır.15

Etkisizleştirme önlemleri kalıcı güvenlik güncellemesinin yerine geçmemektedir.

5. Kalıcı Çözüm (Remediation)

Kalıcı çözüm, düzeltmeyi içeren çekirdeğin kurulması ve sistemin bu çekirdekle yeniden başlatılmasıdır.

Üst akım Minimum Güvenli Sürüm: 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 ve 7.3.1

Dağıtımların durumu (rapor tarihi itibarıyla):

• Debian: Debian 13 (trixie) için 6.12.113-1 (DSA-6568-1); Debian 12 (bookworm) için linux 6.1.190-1 (DLA-4841-1) ve linux-6.12 6.12.113-1~deb12u1 (DLA-4850-1).9
• Oracle Linux: UEK çekirdekleri için ELSA-2026-500397, ELSA-2026-500398 ve ELSA-2026-500399.8
• SUSE: SLES 16.0 için kernel-default 6.12.0-160000.40.1 veya sonrası. SLES 15 SP4–SP6 LTSS, SLE Micro 5.3–5.5, SUSE Linux Micro 6.2 ve openSUSE Leap 16.0 için ürüne özgü düzeltmeler mevcuttur. SLES 15 SP7 ile SUSE Linux Micro 6.0 ve 6.1 için düzeltme henüz yayımlanmamıştır.7
• Amazon Linux: Amazon Linux 2023 kernel6.18 (ALAS2023-2026-3251) ve kernel6.12 (ALAS2023-2026-3335) paketleri düzeltilmiştir. Amazon Linux 2023 varsayılan çekirdeği ve Amazon Linux 2 için düzeltme beklenmektedir.10
• Red Hat: Red Hat Enterprise Linux 8, 9 ve 10 ile OpenShift Container Platform 4 (RHEL CoreOS) için düzeltme ertelenmiştir (“Fix deferred”). Red Hat Enterprise Linux 7 etkilenmemektedir.5
• Ubuntu: 22.04, 24.04, 26.04 ve 26.10 sürümlerindeki çekirdek paketleri için çalışma sürmektedir. 16.04, 18.04 ve 20.04 sürümleri savunmasız olarak listelenmektedir.6

Kendi çekirdeğini derleyen kurumlar, düzeltmeyi tek başına uygulamak yerine kullandıkları kararlı dalın en güncel sürümüne geçmelidir.6 Düzeltilmiş paket kurulduktan sonra sistemin yeni çekirdekle çalıştığı doğrulanmalıdır. Paketin kurulmuş olması, çalışan çekirdeğin güncellendiği anlamına gelmemektedir.15

Gerçek dünya istismarı bildirilmediği için geriye dönük olay incelemesine ilişkin vakaya özgü bir yönlendirme yayımlanmamıştır. Ancak açıklanamayan çekirdek çökmeleri yaşanan internete açık sistemler 6. bölümdeki göstergelerle incelenmelidir.

6. Tespit / İzleme (SOC/SIEM için)

6.1. Log Göstergeleri

Vakaya özgü yayımlanmış log göstergesi veya ürün telemetrisi alanı bulunmamaktadır. Kaynaklardaki teknik tanıma dayanarak aşağıdaki veriler izlenebilir:

• Çekirdek hata iletisi (kernel oops) veya çekirdek paniği (kernel panic) kayıtlarında ip_options_build() işlevini içeren çağrı yığınları,6 15
• İnternete açık hizmetlere gelen ve IPv4 seçenekleri içeren SYN paketleri; özellikle aynı kaynaktan kısa sürede yinelenen SYN paketleri,1 15
• MPTCP dinleyicisi bulunan sunuculara yönelik olağandışı sayıda başarısız bağlantı kurma denemesi.

Kaybedilen yarış sistemi çökertmediği için çekirdek hata kayıtlarının bulunmaması, istismar denemesi yapılmadığının kanıtı değildir.12 IPv4 seçenekleri içeren paketler meşru trafikte de görülebileceğinden tek başına saldırı göstergesi olarak değerlendirilmemelidir.

6.2. IOC

Bu vakaya özgü sabit ve kamuya açık doğrulanmış güvenlik ihlali göstergesi (Indicator of Compromise, IOC) yayımlanmamıştır. Gerçek dünya istismarı bildirilmediğinden saldırgan altyapısına ilişkin IP, alan adı veya dosya özet değeri bulunmamaktadır.15

6.3. Tespit Kuralı Önerisi

Bu zafiyete özgü yayımlanmış hazır IDS/IPS, SIEM veya EDR kuralı kamuya açık güvenilir kaynaklarda bulunmamaktadır. Aşağıdaki öneriler, kurum içi uygulanabilecek davranış korelasyonudur:

1. İnternete açık Linux sunucularının çalışan çekirdek sürümünün ve dağıtım düzeltme durumunun belirlenmesi.
2. Bu sunucularda MPTCP dinleyicisi bulunan hizmetlerin ve net.ipv4.tcp_migrate_req ayarının değerinin envanterlenmesi.
3. Sınır cihazlarında IPv4 seçenekleri içeren gelen SYN paketlerinin kaynak adresle birlikte kayıt altına alınması ve aynı kaynaktan yinelenen örüntülerin önceliklendirilmesi.
4. Bu ağ olaylarının aynı zaman aralığındaki çekirdek hata iletileri, beklenmeyen yeniden başlatmalar ve root yetkileriyle başlayan beklenmeyen süreçlerle ilişkilendirilmesi.
5. Root yetkileriyle beklenmeyen süreç veya ağ bağlantısı tespit edilirse sistemin olası güvenlik ihlaline uğramış olarak ele alınması ve olay müdahalesi başlatılması.

Sürüm bilgisine dayalı zafiyet taraması yalnızca çalışan çekirdek sürümünü ve paket durumunu ölçmektedir. İstismar girişimini veya başarılı istismarı göstermemektedir. Dağıtım çekirdeklerinde düzeltmeler geriye taşındığından sürüm numarası üst akım sürümlerle doğrudan karşılaştırılmamalı, dağıtımın duyurusu esas alınmalıdır.

7. Kaynaklar

1. CVE Program - CVE Record: CVE-2026-98432
2. The Linux Kernel Archives - About Linux Kernel
3. The Linux Kernel documentation - Multipath TCP (MPTCP)
4. The Linux Kernel documentation - IP Sysctl
5. Red Hat - CVE-2026-98432
6. Ubuntu - CVE-2026-98432
7. SUSE - CVE-2026-98432
8. Oracle Linux - CVE-2026-98432
9. Debian Security Tracker - CVE-2026-98432
10. Amazon Linux Security Center - CVE-2026-98432
11. Openwall oss-security - Fwd: Protecting against CVE-2026-98432 when using Go programs
12. Anthropic - Discovering and exploiting vulnerabilities in critical, real-world software with Claude
13. NIST NVD - CVE-2026-98432 Detail
14. FIRST - EPSS API
15. Rescana - Linux Kernel CVE-2026-98432: Critical TCP Use-After-Free, No RHEL or Ubuntu Fix Yet
16. Cyber Kendra - Critical Linux Kernel TCP Flaw CVE-2026-98432 Still Unpatched on Ubuntu and RHEL