CVE-2026-98432, Linux çekirdeğinin TCP bağlantı isteklerini kabul etme biçimindeki bir açık. Parolası olmayan uzaktaki bir saldırganın sunucuyu çökertmesine ya da çekirdek belleğini bozmasına izin veriyor. Linux çekirdeği CVE ekibi açığa 10 üzerinden 9,8 puan veriyor; Anthropic de Claude modelinin, MPTCP bağlantılarını kabul eden sunucularda saldırgana root yetkisi veren bir istismar kodu yazdığını söylüyor. Düzeltme ana çekirdekte var ve Debian onu yayımladı, ancak 30 Ekim 2026 itibarıyla Ubuntu 22.04, 24.04 ve 26.04 için düzeltmeyi "work in progress" (üzerinde çalışılıyor) olarak gösteriyor, Red Hat ise RHEL 8, 9 ve 10'u güncellemesiz ve etkilenmiş olarak listeliyor. Güncelleme gelene kadar: İhtiyacınız yoksa MPTCP'yi kapatın, IP seçenekleri taşıyan IPv4 paketlerini engelleyin, sunucularınıza kimin ulaşabileceğini kısıtlayın ve yeniden başlatmayı planlayın.

CVE-2026-98432 nedir ve şirketiniz için neden önemli?

Resmi CVE kaydına göre açık, IPv4 üzerinden bir TCP el sıkışmasının tamamlandığı anda bulunuyor: Çekirdek, bağlantı isteğiyle birlikte saklanan IP seçeneklerini kopyalamadan yeni bağlantıya aktarıyor; tam o anda başka bir CPU yinelenen bir isteği işleyip bu seçeneklerden bir yanıt oluşturabiliyor. Çekirdek önce belleği serbest bırakırsa, ardından serbest bıraktığı belleği okuyor; bu, use-after-free olarak bilinen bir hata. Açık, 4.4 çekirdeğinden beri var. Çekirdeğin CVE ekibi açığı 15 Ekim 2026'da yayımladı ve ağ üzerinden, el sıkışma sırasında ve herhangi bir oturum açmadan önce, kullanıcı etkileşimi olmadan ulaşılabildiği için ona 10 üzerinden 9,8 puan verdi.

Anthropic, 27 Ekim tarihli bir yazısında, Claude'un kimlik bilgisi olmayan uzaktaki bir saldırganın MPTCP, yani çok yollu TCP bağlantılarını kabul eden Linux sunucularında root olarak komut çalıştırmasını sağlayan bir istismar kodu yazdığını açıkladı. Testte istismar kodu çekirdek belleğinden bir adresi sızdırmak için 48 dakika, ardından komut çalıştırmaya ulaşmak için 5 dakika harcadı. Daha kötüsü, başarısız bir deneme sunucuyu çökertmiyor; yalnızca o bağlantı başarısız oluyor, bu yüzden saldırgan kimse fark etmeden denemeye devam edebiliyor. Anthropic istismar kodunun kendisini yayımlamadı.

Red Hat ana etkiyi sunucunun çökmesi ve hizmet reddi olarak tanımlıyor, olası bellek bozulmasıyla birlikte. CISA'nın bilinen istismar edilmiş güvenlik açıkları kataloğunun 30 Ekim sürümünde açık henüz listeye eklenmemişti.

Dağıtımınıza güncelleme geldi mi?

30 Ekim 2026'da her dağıtımın resmi sayfasında görünen durum şöyle:

DağıtımDurum
Ubuntu 22.04, 24.04, 26.04 ve 26.10Savunmasız, düzeltme "work in progress" (üzerinde çalışılıyor); 24.04 için 6.8.0-149 çekirdeğinde (Ubuntu sayfası)
Ubuntu 16.04, 18.04 ve 20.04Savunmasız
Red Hat Enterprise Linux 8, 9 ve 10Etkileniyor, güncelleme yayımlanmadı (Red Hat sayfası)
Red Hat Enterprise Linux 6 ve 7Etkilenmiyor
Debian 12 ve 136.1.190-1 ve 6.12.113-1 sürümlerinde düzeltildi (Debian takip sistemi)

Ana çekirdekte düzeltme 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 ve 7.3 sürümleriyle geldi. Ancak sunucuların çoğu kendi dağıtımının çekirdeğini çalıştırıyor, bu yüzden önemli olan ana çekirdeğin sürüm numarası değil, dağıtımınızın sayfası.

Bir sunucunun açıkta olup olmadığını nasıl anlarsınız?

İnternetten bağlantı kabul eden her Linux sunucusunda şu komutları çalıştırın:

uname -r
cat /proc/sys/net/mptcp/enabled
ss -Mln
cat /proc/sys/net/ipv4/tcp_migrate_req
  • İlki çekirdek sürümünü gösterir; bunu dağıtımınızın sayfasıyla karşılaştırın. Örneğin Ubuntu 24.04'te bugün mevcut olan her sürüm henüz düzeltilmemiş durumda.
  • İkincisinden 1 değeri gelirse MPTCP açık demektir; çekirdek belgelerine göre varsayılan ayar da budur.
  • Üçüncüsü MPTCP bağlantılarını kabul eden hizmetleri listeler. Listede görünen her hizmet, Anthropic'in istismar ettiği türden bir hedeftir. Go ile yazılmış programlara dikkat edin: Go 1.24 sürüm notlarına göre bu programların dinleyicileri artık desteklendiği yerlerde varsayılan olarak MPTCP kullanıyor.
  • Dördüncüsü 0 göstermeli; CVE kaydına göre açığın ikinci yolu yalnızca değer 1 olduğunda çalışıyor.

Güncelleme gelene kadar geçici çözüm: 5 adım

  1. Dağıtımınızda düzeltme varsa şimdi kurun ve yeniden başlatın. Örneğin Debian 12 ve 13'te: 
    sudo apt update && sudo apt upgrade
sudo reboot
    Yeni çekirdek, sunucu onunla çalışmaya başlayana kadar sizi korumaz.
  2. Hiçbir hizmetin ihtiyacı yoksa MPTCP'yi kapatın. Bu, Anthropic'in istismar ettiği türden hedefi kapatır: 
    sudo sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" | sudo tee /etc/sysctl.d/99-disable-mptcp.conf
    İlk komut ayarı hemen uygular; ikincisi yeniden başlatmadan sonra da korur. Çekirdek belgeleri ayarın her ağ ad alanı (network namespace) için ayrı olduğunu söylüyor, bu yüzden konteynerlerin içinde de uygulayın. Go programları, MPTCP kullanılamadığında otomatik olarak normal TCP'ye geri döner. Ama ne Anthropic ne de herhangi bir dağıtım, kapatmanın açığın kendisini ortadan kaldırdığını söylüyor; yani bu adım riski tedavi etmek yerine daraltır.
  3. IPv4 seçenekleri taşıyan TCP paketlerini engelleyin. CVE kaydındaki puanlama senaryosu, IPv4 Record Route veya Timestamp seçeneğini taşıyan bir bağlantı isteği gönderen bir saldırganı varsayıyor; olağan web, e-posta ve SSH trafiği bu seçeneklere ihtiyaç duymaz. Ağ yöneticinizden, IPv4 başlığı 20 bayttan uzun olan gelen TCP paketlerini düşüren bir güvenlik duvarı kuralı isteyin ve önce tek bir sunucuda deneyin. Hiçbir dağıtım bunun açığı engellediğini söylemiyor, ama puanlamanın varsaydığı koşulu ortadan kaldırıyor.
  4. Sunucularınıza kimin ulaşabileceğini kısıtlayın. Açığın bağlantı kabul eden açık bir TCP portuna ihtiyacı var; bu yüzden ihtiyacınız olmayan her portu kapatın, SSH'yi ve yönetim panellerini yalnızca belirli IP adreslerinden ya da VPN üzerinden erişilebilir bırakın. Site CDN gibi bir aracının arkasındaysa, kaynak sunucunun yalnızca o hizmetin adreslerinden gelen bağlantıları kabul etmesini sağlayın.
  5. Güncellemeyi gelmeden önce hazırlayın. Ubuntu ve Red Hat'in bu CVE ile ilgili sayfalarını takip edin, çekirdek güncellemesini önceden onaylayın ve bir yeniden başlatma aralığı belirleyin; böylece düzeltme yayımlandığı gün kurulur. Çekirdek günlüğünü ip_options_build ifadesini içeren çökmeler için izleyin: 
    sudo journalctl -k | grep -i ip_options_build
    Yine de sessiz bir günlük güvende olduğunuz anlamına gelmez, çünkü başarısız bir deneme sunucuyu çökertmez.

Sunucularınız bir barındırma sağlayıcısındaysa ne olacak?

Paylaşımlı barındırmada ve yönetilen hizmetlerde çekirdek size değil, sağlayıcıya aittir. Ona üç soru sorun: Sunucularında hangi dağıtımı ve hangi çekirdek sürümünü kullanıyor, düzeltmeyi ne zaman kuracak ve o zamana kadar riski azaltmak için ne yapıyor. Sanal özel sunucularda (VPS) çekirdek genellikle sizin elinizdedir, bu yüzden yukarıdaki adımları kendiniz uygulayın.

Origami'nin görüşü

PHP güvenlik açıkları hakkındaki yazımızda olduğu gibi, resmi güncelleme geciktiğinde ilk günlerde sunucuları koruyan şey geçici adımlardır. Ancak bu adımlar yalnızca riski daraltır; tek tedavi, yeniden başlatmadan sonra düzeltilmiş çekirdektir. Origami olarak Linux sunucularınızı kontrol edebilir, geçici adımları hizmetlerinizi kesintiye uğratmadan uygulayabilir ve düzeltmeyi yayımlanır yayımlanmaz kurabiliriz. Bize ulaşın.

Özetle

  • CVE-2026-98432, çekirdek ekibince 10 üzerinden 9,8 puanla değerlendirilen ve sunucuya TCP el sıkışması sırasında, herhangi bir oturum açmadan önce uzaktan saldıran bir Linux çekirdeği açığıdır.
  • Debian düzeltmeyi yayımladı; Ubuntu ve Red Hat 30 Ekim 2026 itibarıyla henüz yayımlamamıştı.
  • Onlar yayımlayana kadar: İhtiyacınız yoksa MPTCP'yi kapatın, IPv4 seçenekleri taşıyan TCP paketlerini engelleyin ve kullanmadığınız portları kapatın.
  • Düzeltilmiş çekirdeği yayımlanır yayımlanmaz kurun ve yeniden başlatın; geçici adımlar onun yerini tutmaz.

Kaynaklar