CVE-2026-98432: Linux Çekirdeğindeki Kritik TCP Açığı İçin Yama ve Önlem Rehberi

Linux çekirdeğinin IPv4 TCP bağlantı kurulumunu yöneten kodunda bulunan CVE-2026-98432, Red Hat tarafından kritik olarak sınıflandırıldı. Açık, kimlik doğrulama ya da kullanıcı etkileşimi gerektirmeden ağ üzerinden tetiklenebiliyor ve uzaktan kod çalıştırmaya kadar gidebiliyor. Bu yazıda açığın ne olduğunu, hangi sistemlerin etkilendiğini, 2 Kasım 2026 itibarıyla yama durumunu ve yama gelene kadar uygulanabilecek geçici önlemleri derliyoruz.

CVE-2026-98432 nedir?

Açık, çekirdeğin IPv4 ağ alt sisteminde bir use-after-free (serbest bırakılmış belleğin kullanılması) hatası. Bir TCP bağlantı isteği işlenirken soket seçenekleri serbest bırakılıyor; ancak tekrar gönderilen bir bağlantı isteği ya da soket taşıma gibi eş zamanlı bir işlem bu belleğe hâlâ erişmeye devam edebiliyor. Bu yarış durumu (race condition) istismar edildiğinde saldırgan uzaktan kod çalıştırabiliyor.

Red Hat’e göre istismar, ağ isteklerinin hassas biçimde zamanlanmasını gerektiriyor; ancak herhangi bir yetki ya da kullanıcı etkileşimi gerektirmiyor. AWS de belirli koşullarda özel hazırlanmış IPv4 TCP paketleriyle kimlik doğrulamasız uzaktan kod çalıştırmanın mümkün olduğunu doğruluyor.

Hangi sistemler etkileniyor?

• Çekirdek sürümü: AWS’ye göre 4.4 ve sonrası tüm Linux çekirdekleri.
• Red Hat: RHEL 8, 9, 10 ve OpenShift Container Platform doğrudan etkileniyor. RHEL CoreOS, OpenStack Platform ve Red Hat Virtualization gibi RHEL çekirdeğine dayanan katmanlı ürünler de potansiyel olarak etkilenenler arasında.
• En yüksek risk: Dışarıdan TCP bağlantısı kabul eden, özellikle internete açık portu olan sunucular. TCP neredeyse tüm ağ hizmetlerinin temeli olduğu için etki alanı geniş.

Yama durumu (2 Kasım 2026 itibarıyla)

• Amazon Linux 2 ve 2023: Düzeltilmiş çekirdek paketleri yayında (4.14, 5.4, 5.10, 5.15, 6.1, 6.12 ve 6.18 çekirdekleri).
• RHEL 8, 9, 10 ve OpenShift: Red Hat düzeltmeleri hızlandırdığını açıkladı; bültenin yayımlandığı 30 Ekim’de yayımlanmış bir yama bulunmuyordu.
• Ubuntu: AWS’nin 31 Ekim’de güncellenen bültenine göre Canonical henüz düzeltilmiş çekirdek yayımlamadı.

Durum gün içinde değişebiliyor. Kullandığınız dağıtımın güncel durumunu mutlaka üreticinin güvenlik sayfasından kontrol edin.

Amazon Linux’ta güncelleme için:

# Amazon Linux 2
sudo yum update kernel && sudo reboot

# Amazon Linux 2023
sudo dnf update kernel --releasever=latest && sudo reboot

Bulutta çalışmak tek başına koruma sağlamıyor

Bulut ortamlarında sorumluluk servise göre değişiyor. AWS bülteni bu ayrımı net biçimde ortaya koyuyor:

• EC2 ve Lightsail: Kendi yönettiğiniz sunucularda çekirdek güncellemesi size ait. AWS üzerinde Ubuntu çalıştırıyorsanız Amazon Linux için yayımlanan güncelleme sunucunuzu düzeltmiyor.
• ALB, CloudFront, API Gateway, WAF: Bu servislerin arkasındaki altyapıyı AWS güncelliyor; ancak arkadaki kendi sunucularınızı 30 gün içinde güncellemeniz öneriliyor.
• EKS ve ECS: Güncellenmiş AMI’ler (v20261031 ve sonrası) yayında; düğümlerinizi ve konteyner sunucularınızı bu sürümlere taşımanız gerekiyor.
• RDS ve Aurora: Veritabanı portlarının internete açık olmadığından emin olun. AWS’nin duyurduğu kalıcı yama 3 Kasım 2026’da yayımlanacak.
• Lambda: Fonksiyonlar herkese açık IPv4 TCP portu sunmadığı için etkilenmiyor.

Konteyner ortamlarında kontrol edilmesi gereken yer konteyner imajı değil, konteynerin çalıştığı ana makinenin çekirdeği. OpenShift gibi katmanlı ürünlerde de alttaki RHEL çekirdeğinin güncel olması gerekiyor.

CVE-2026-98432 için geçici önlemler

Yaması henüz yayımlanmamış sistemlerde aşağıdaki önlemler riski azaltıyor ama açığı kapatmıyor. Tek kalıcı çözüm, düzeltilmiş çekirdeği kurup sistemi yeniden başlatmak (ya da canlı yama uygulamak). Her kuralı üretime almadan önce kendi trafiğinizle test edin.

1. IP seçenekleri taşıyan IPv4 TCP paketlerini düşürün (nftables)

Red Hat’in önerdiği kural, IP seçenekleri içeren gelen IPv4 TCP paketlerini düşürüyor. Standart TCP seçenekleri TCP başlığında taşındığı için normal uygulama trafiğinin etkilenmemesi bekleniyor. Aşağıdaki içeriği cve-2026-98432.nft adıyla kaydedin:

table inet cve_2026_98432 {
    chain input {
        type filter hook input priority -310; policy accept;
        ip protocol tcp ip hdrlength > 5 counter drop
    }
}

Kuralı doğrulayıp uygulayın:

sudo nft --check --file cve-2026-98432.nft
sudo nft --file cve-2026-98432.nft
sudo nft list table inet cve_2026_98432

Çekirdek güncellendikten sonra kuralı kaldırın:

sudo nft delete table inet cve_2026_98432

2. iptables kullanıyorsanız

AWS, aynı amaca yönelik iptables kuralını paylaşıyor:

sudo iptables -I INPUT 1 -m u32 --u32 '0>>24&0x0f=6:15' -j DROP

3. Kullanmıyorsanız MPTCP’yi kapatın

AWS, ara adım olarak multipath TCP’nin (MPTCP) kapatılmasını öneriyor. Bu adım bir sunucuda kod çalıştırma koşullarını azaltıyor, ancak sorunu çözmüyor:

sysctl net.mptcp.enabled
echo 'net.mptcp.enabled = 0' | sudo tee /etc/sysctl.d/90-disable-mptcp.conf
sudo sysctl -w net.mptcp.enabled=0

Go 1.24 ve sonrasıyla derlenmiş uygulamalarda GODEBUG=multipathtcp=0 ortam değişkeni de aynı etkiyi sağlıyor.

4. AWS Network Firewall kullanıyorsanız

IP seçenekleri taşıyan IPv4 paketlerini ağ seviyesinde düşüren bir durum bilgili (stateful) kural ekleyebilirsiniz. Kuralın çalışması için güvenlik duvarı politikasının katı kural sırası (strict rule order) kullanması gerekiyor:

drop ip any any -> any any (msg:"CVE-2026-98432: drop IPv4 packets carrying IP options (IHL > 5)"; ipv4.hdr; bsize:>20; classtype:bad-unknown; sid:1000001; rev:2;)

Adım adım kontrol listesi

1. Envanter çıkarın. Hangi sunucuda hangi dağıtım ve çekirdek sürümü çalışıyor (uname -r), hangileri internete açık? Önceliği internete açık sunuculara verin.
2. Yaması olanları güncelleyin ve yeniden başlatın. Çekirdek düzeltmesi, canlı yama kullanılmıyorsa ancak yeniden başlatmadan sonra etkinleşiyor.
3. Yaması olmayanlarda geçici önlemi uygulayın. Kuralı önce test ortamında deneyin, ardından üretime alın.
4. Bulut servislerini ayrı ayrı gözden geçirin. Hangi katmanın sağlayıcıda, hangisinin sizde olduğunu netleştirin.
5. Yama yayımlanınca hızlı hareket edin. Çekirdeği güncelledikten sonra geçici kuralları kaldırın.

Kaynaklar: Red Hat Güvenlik Bülteni RHSB-2026-016 ve AWS Güvenlik Bülteni 2026-160-AWS.

Linux sunucularınızın envanterini çıkarmak, yama planını oluşturmak ya da geçici önlemleri güvenle devreye almak için destek almak isterseniz bizimle iletişime geçebilirsiniz.