Kritik Linux çekirdeği açığı MPTCP sunucularında uzaktan root saldırısını mümkün kılıyor

Öne çıkanlar

• CVE-2026-98432, Linux çekirdeğinin IPv4 TCP ağ kodunda bir use-after-free açığı. Linux çekirdek CVE ekibi açığa 10 üzerinden 9.8 puan verdi. Açık, 4.4 sürümüne kadar geri giden çekirdekleri etkiliyor.
• Anthropic, henüz yayımlanmamış bir Claude modelinin geliştirdiği exploit ile KASLR korumasını atladı ve MPTCP dinleyicisi çalışan bir sunucuda yaklaşık 53 dakikada root olarak uzaktan komut çalıştırdı.
• Açık Linux çekirdeğinde düzeltildi ve bakımı süren dallara geri uygulandı. Ancak güncellemeler henüz tüm dağıtımlara ulaşmadı. 30 Ekim itibarıyla Ubuntu 22.04/24.04/26.04 LTS ve 26.10, RHEL 8/9/10 ile Rocky Linux 8/9/10 savunmasızdı. Debian yamalı paketleri yayımladı.

Anthropic’teki güvenlik araştırmacıları, Linux çekirdeğindeki kritik bir açık için çalışan bir exploit geliştirdi. Açık, Multipath TCP (MPTCP) dinleyicisi çalışan sunucularda saldırganların kimlik doğrulaması yapmadan root olarak komut çalıştırabilmesini sağlıyor. CVE-2026-98432 olarak izlenen açık sıradan TCP bağlantılarını da etkiliyor. Ancak MPTCP dinleyicisi olmayan sunucularda uzaktan kod çalıştırma kamuya açık biçimde gösterilmedi.

Ayrıntılar

Multipath TCP (MPTCP), tek bir bağlantının performansı ve güvenilirliği artırmak için aynı anda birden çok ağ yolunu kullanmasını sağlayan bir TCP özelliği. Cihazın Wi-Fi ve hücresel ağ gibi birden çok bağlantıya sahip olduğu ortamlarda yaygın.

Açık, çekirdeğin TCP bağlantı isteklerini işleme biçimindeki bir race condition kaynaklı use-after-free: serbest bırakılan bellek kullanılmaya devam ediliyor. Linux çekirdek danışma metni şöyle açıklıyor: “tcp_v4_syn_recv_sock(), ireq->ireq_opt sahipliğini kopyalamadan alt sokete (newinet->inet_opt) aktarıyor. Başka bir CPU, aynı istek soketi için yeniden gönderilen bir SYN’i eşzamanlı olarak işleyip tcp_check_req() üzerinden bir SYNACK gönderebilir.” Benzer bir sorun, net.ipv4.tcp_migrate_req etkin olduğunda veya BPF_SK_REUSEPORT_SELECT_OR_MIGRATE programı kullanıldığında TCP istek soketi taşınırken de ortaya çıkabiliyor.

Red Hat, race condition’ı tetiklemenin tek bir zararlı paket göndermekten daha karmaşık olduğunu belirtiyor. Bu nedenle açığı, çekirdeği çökerebilecek olası bir hizmet dışı bırakma sorunu olarak sınıflandırıp 5.9 puan verdi. Anthropic ise belirli koşullarda bunun tersini gösterdi. Henüz yayımlanmamış bir Claude modelinin geliştirdiği exploit, KASLR korumasını atladı ve MPTCP dinleyicisi çalışan bir Linux sunucusunda root olarak istenen komutları çalıştırdı. Uzaktan root kod çalıştırma yaklaşık 53 dakika sürdü.

MPTCP uygulamalarda genellikle varsayılan olarak açık değil ama bazı yazılımlar otomatik açıyor. Go 1.24’ten itibaren dil, çekirdek desteklediği sürece Linux’ta TCP dinleyicileri için MPTCP’yi varsayılan olarak açıyor. Bu yüzden Go tabanlı bazı ağ servisleri, yöneticilerin haberi olmadan MPTCP dinleyicisi çalıştırabiliyor.

Açık, Linux çekirdeğinde düzeltildi ve bakımı süren çekirdek dallarına geri uygulandı. Ancak güncellemeler henüz tüm dağıtımlara ulaşmadı. Canonical’ın takip sayfasına göre 30 Ekim itibarıyla Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS ve 26.10 savunmasız durumda. Çekirdek düzeltmeleri hazırlanıyor. Red Hat, RHEL 8, 9 ve 10’un etkilendiğini, düzeltmelerin gelecekteki güncellemelerle gelmesinin planlandığını bildiriyor. RHEL 7 etkilenmiyor çünkü çekirdeği savunmasız kodu içermiyor. CIQ, Rocky Linux 8, 9 ve 10’un da etkilendiğini doğruladı ve etkilenen sistemler için geçici güvenlik duvarı korumaları paylaştı. Debian, açığı Debian 12 (Bookworm) için 6.1.190-1, Debian 13 (Trixie) için 6.12.113-1 çekirdek paket sürümlerinde giderdi. Testing ve unstable için de yamalı paketler mevcut. Oracle Linux, Amazon Linux ve SUSE de bazı etkilenen çekirdek sürümleri için düzeltme yayımladı. macOS, Apple’ın XNU çekirdeğini kullandığı için etkilenmiyor.

Arka plan

Şu ana kadar CVE-2026-98432’nin sahada istismar edildiğine dair doğrulanmış rapor yok. Linux çekirdek CVE ekibi açığa 10 üzerinden 9.8 puan verdi. Red Hat ise istismarın karmaşık olduğu gerekçesiyle 5.9 puan verdi ve açığı olası bir hizmet dışı bırakma sorunu olarak sınıflandırdı.

Neden önemli

Mühendisler için risk, MPTCP ile dinleme yapan sunucularda yoğunlaşıyor. Go 1.24, TCP dinleyicileri için MPTCP’yi varsayılan olarak açtığından bazı Go tabanlı ağ servisleri bunun farkında olmadan MPTCP dinleyicisi çalıştırabiliyor. Anthropic’in gösterimi, bu sunucularda açığın hizmet dışı bırakmanın ötesinde root komut çalıştırmaya varabildiğini ortaya koyuyor.

Ne yapmalı

• Dağıtımınızın güvenlik duyurularını izleyin ve güncel çekirdek paketleri çıkar çıkmaz kurun.
• Yama henüz yoksa erişimi güvenilir ağlara veya IP adreslerine kısıtlayın.
• CIQ, savunmasız TCP işleme koduna ulaşmadan önce IP seçenekleri içeren IPv4 TCP paketlerini nftables kurallarıyla geçici olarak engellemeyi öneriyor. Örnek kuralları da paylaştı.
• Yalnızca MPTCP’yi kapatmaya güvenmeyin. Temeldeki açık sıradan TCP trafiği üzerinden de tetiklenebiliyor.