Kritik Linux çekirdek açığı MPTCP sunucularında uzaktan kök saldırılara yol açıyor

Güvenlik araştırmacıları, Linux çekirdeğindeki kritik bir açığı kullanarak, Multipath TCP (MPTCP) dinleyicisi olan sunucularda kimlik doğrulaması gerektirmeden uzaktan kök komutları çalıştırılmasına olanak tanıyan bir istismar geliştirdi. CVE-2026-98432 olarak izlenen bu açık, yalnızca MPTCP bağlantılarını değil, aynı zamanda sıradan TCP bağlantılarını da etkiliyor. Ancak, MPTCP dinleyicisi olmayan sunucularda uzaktan kod çalıştırmanın kamuya açık bir şekilde gösterilmediği belirtiliyor.

MPTCP Nedir?

Multipath TCP (MPTCP), tek bir bağlantının birden fazla ağ yolunu aynı anda kullanmasına olanak tanıyan bir TCP özelliğidir. Bu özellik, Wi-Fi ve hücresel ağlar gibi birden fazla ağ bağlantısına sahip cihazların performansını ve güvenilirliğini artırmak için yaygın olarak kullanılır. MPTCP, ağ bağlantılarının daha iyi yönetilmesine yardımcı olurken, bu durum bazı güvenlik açıklarını da beraberinde getirebiliyor.

Açığın Ciddiyeti

CVE-2026-98432, Linux çekirdeğinin IPv4 TCP ağ kodunda bir "use-after-free" (kullanım sonrası serbest bırakma) açığı olarak tanımlanıyor ve Linux çekirdek CVE ekibi tarafından 10 üzerinden 9.8 şiddet puanı ile derecelendiriliyor. Bu açık, 4.4 versiyonundan itibaren birçok Linux çekirdek sürümünü etkiliyor; bunlar arasında yaygın olarak kullanılan Ubuntu, Red Hat Enterprise Linux (RHEL) ve Rocky Linux gibi dağıtımlar bulunuyor.

Açığın, çekirdeğin TCP bağlantı isteklerini nasıl işlediğindeki bir yarış durumu nedeniyle ortaya çıktığı belirtiliyor. Red Hat, bu açığın kötüye kullanılmasının karmaşık olduğunu ve yalnızca kötü niyetli bir ağ paketi göndermenin yeterli olmadığını ifade ediyor. Bununla birlikte, Anthropic araştırmacıları, belirli koşullar altında uzaktan kod çalıştırmanın mümkün olduğunu gösterdiler.

Güncellemeler ve Yamanın Durumu

Linux çekirdeğindeki bu açık, üst akışta düzeltildi ve bakım altında olan çekirdek sürümlerine geri taşındı. Ancak, tüm etkilenen Linux dağıtımlarına henüz güvenlik güncellemeleri gönderilmedi. Canonical'ın güvenlik izleyicisine göre, Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS ve 26.10 hâlâ savunmasız durumda. Red Hat ise RHEL 8, 9 ve 10'un etkilendiğini belirtirken, RHEL 7'nin etkilenmediğini ifade ediyor.

Rocky Linux destek sağlayıcısı CIQ, Rocky Linux 8, 9 ve 10'un da etkilendiğini doğruladı ve geçici güvenlik önlemleri önerdi. Debian'ın güvenlik izleyicisine göre, Debian 12 ve 13 için ilgili güncellemeler yapılmış durumda. Oracle Linux, Amazon Linux ve SUSE gibi diğer Linux sağlayıcıları da etkilenen çekirdek sürümleri için düzeltmeler yayınladı.

Öneriler ve Önlemler

Yönetici kullanıcıların, dağıtımlarının güvenlik duyurularını kontrol etmeleri ve güncellenmiş çekirdek paketlerini yüklemeleri öneriliyor. Yamanın henüz mevcut olmadığı sistemlerde, güvenilir ağlara veya IP adreslerine erişimin kısıtlanması riskleri azaltabilir. CIQ, IPv4 TCP paketlerinin IP seçeneklerini içerenlerin, savunmasız TCP işleme koduna ulaşmadan engellenmesini önermektedir. Ancak, yalnızca MPTCP'nin devre dışı bırakılmasının yeterli olmayacağı belirtiliyor.

Sonuç

CVE-2026-98432 açığının şu anda dışarıda kötüye kullanıldığına dair herhangi bir doğrulanmış rapor bulunmuyor. Ancak, bu tür güvenlik açıklarının zamanında kapatılması ve güncellemelerin uygulanması, sistemlerin güvenliğini sağlamak açısından kritik öneme sahiptir.