Linux Kernel'de Kritik Güvenlik Açığı: CVE-2026-98432 Nedir, Hangi Sunucuları Etkiliyor?

Linux çekirdeğinde tespit edilen yeni bir güvenlik açığı, özellikle internet üzerinden erişilebilen sunucular açısından dikkatle takip edilmesi gereken bir risk oluşturuyor.

CVE-2026-98432 koduyla yayımlanan ve 15 Ekim 2026 tarihinde duyurulan bu zafiyet, Linux Kernel'in IPv4 TCP bağlantılarını işleme mekanizmasından kaynaklanıyor.

Ubuntu tarafından CVSS 3.1 kapsamında 9.8 (Critical) olarak derecelendirilen açık, belirli koşullarda uzaktan gönderilen TCP paketleriyle çekirdek belleğinde hatalı erişime neden olabiliyor.

Bu durumun en somut riski, işletim sistemi çekirdeğinin çökmesi ve sunucunun hizmet veremez hale gelmesi.

Açık doğrudan Linux Kernel içerisinde bulunduğundan Apache, Nginx, PHP, MySQL veya diğer uygulamaların güncel olması tek başına yeterli değil.

CVE-2026-98432 Güvenlik Açığı Nedir?

Güvenlik açığı, Linux çekirdeğinin TCP bağlantılarını yönetirken kullandığı bellek alanlarını serbest bırakma biçimindeki bir hatadan kaynaklanıyor.

TCP bağlantısı kurulurken istemci ile sunucu arasında SYN, SYN-ACK ve ACK paketlerinin kullanıldığı bir bağlantı süreci gerçekleşir.

Normal şartlarda çekirdek, bu bağlantı taleplerini işlerken ilgili socket yapılarını ve bunlara ait bellek alanlarını güvenli biçimde yönetmelidir.

Ancak CVE-2026-98432 kapsamında tespit edilen sorun nedeniyle, bir işlem tarafından hâlâ kullanılmakta olan bellek alanı başka bir işlem tarafından serbest bırakılabiliyor.

Bu tür güvenlik açıkları Use-After-Free (UAF) olarak adlandırılıyor.

Özellikle birden fazla CPU çekirdeğinin eş zamanlı olarak aynı TCP bağlantısına ait işlemleri gerçekleştirdiği senaryolarda yarış durumu (race condition) oluşabiliyor.

Bir CPU bağlantıyla ilişkili IP seçeneklerini okumaya devam ederken diğer CPU aynı bellek alanını serbest bırakabiliyor.

Sonrasında serbest bırakılmış belleğe erişilmeye çalışılması, kernel seviyesinde bellek bozulmasına veya sistemin çökmesine neden olabiliyor.

Güvenlik Açığı Teknik Olarak Nasıl Oluşuyor?

Sorun Linux çekirdeğindeki tcp_v4_syn_recv_sock() fonksiyonuyla ilişkili.

Bu fonksiyon, gelen TCP bağlantı talepleri işlenirken yeni socket yapılarının oluşturulmasında görev alıyor.

Bağlantı talebine ait ireq->ireq_opt bellek referansı, belirli durumlarda yeni oluşturulan socket yapısına aktarılıyor.

Ancak başka bir CPU aynı bağlantıya ait yeniden iletilmiş bir SYN paketini işlerken bu bellek referansını kullanmaya devam edebiliyor.

İlgili socket beklenmedik şekilde serbest bırakılırsa, diğer CPU artık geçerli olmayan bir bellek alanına erişebiliyor.

Bu hata özellikle ip_options_build() fonksiyonunda ortaya çıkabiliyor.

Benzer bir durum, TCP bağlantı taleplerinin farklı socket'ler arasında taşınmasını sağlayan request socket migration işlemlerinde de bulunuyor.

Linux geliştiricileri sorunu gidermek için doğrudan bellek serbest bırakma işlemi yerine RCU (Read-Copy-Update) mekanizmasını kullanan bir düzeltme hazırladı.

Bu değişiklikle ilgili bellek alanının, onu kullanmakta olan okuyucular işlemlerini tamamlamadan serbest bırakılmaması amaçlanıyor.

Saldırgan Bu Açığı Kullanarak Neler Yapabilir?

Bu güvenlik açığı için en önemli risklerden biri, saldırının uzaktan gerçekleştirilebilme ihtimali.

Saldırganın sunucuda kullanıcı hesabına sahip olması veya SSH üzerinden oturum açması gerekmeyebilir. Ağ üzerinden erişilebilen bir TCP servisi, uygun koşullarda saldırı yüzeyi oluşturabilir.

Başarılı bir saldırı sonucunda şu etkiler ortaya çıkabilir:

• Denial of Service (DoS): Linux çekirdeğinin çökmesi nedeniyle sunucunun erişilemez duruma gelmesi.

• Kernel bellek bozulması: Serbest bırakılmış bellek alanına erişilmesi sonucunda işletim sistemi kararlılığının bozulması.

• Hizmet kesintileri: Web sunucuları, veritabanları ve diğer servislerin beklenmedik şekilde durması.

Burada önemli bir ayrıntı bulunuyor.

CVSS puanının 9.8 olması, saldırganın bu açık sayesinde kesin olarak root yetkisi elde edebildiği anlamına gelmiyor. Mevcut teknik açıklamalarda en somut saldırı etkisi sistemin çökmesi ve hizmet kesintisi yaşanması olarak değerlendiriliyor.

Nitekim Red Hat, saldırının gerçekleştirilmesindeki yarış koşullarını dikkate alarak aynı güvenlik açığını kendi ürünleri için CVSS 3.1 kapsamında 5.9 olarak derecelendiriyor.

Dolayısıyla güvenlik açığının ciddiyeti yüksek olsa da uzaktan kod çalıştırma veya root yetkisi elde etme iddialarını doğrulanmış bir sonuç olarak değerlendirmemek gerekiyor.

Hangi Ubuntu Sürümleri Etkileniyor?

Ubuntu'nun 28 Ekim 2026 tarihinde güncellenen resmi güvenlik kaydına göre aşağıdaki sürümler etkileniyor.

Ubuntu sürümü	Güvenlik durumu
Ubuntu 26.10	Etkileniyor – düzeltme hazırlanıyor
Ubuntu 26.04 LTS	Etkileniyor – düzeltme hazırlanıyor
Ubuntu 24.04 LTS	Etkileniyor – düzeltme hazırlanıyor
Ubuntu 22.04 LTS	Etkileniyor – düzeltme hazırlanıyor
Ubuntu 20.04 LTS	Etkileniyor
Ubuntu 18.04 LTS	Etkileniyor
Ubuntu 16.04 LTS	Etkileniyor

Önemli: 30 Ekim 2026 itibarıyla Ubuntu'nun standart linux paketine ait listede 22.04, 24.04, 26.04 ve 26.10 için düzeltme çalışmaları devam ediyor. Burada belirtilen durumlar, ilgili yamaların kullanıcılara sunulduğu anlamına gelmiyor.

Ayrıca Ubuntu sistemlerde yalnızca standart kernel paketleri bulunmuyor.

AWS, Azure, Google Cloud, KVM, Raspberry Pi, HWE ve diğer özel kernel paketlerinin ayrı güvenlik durumları bulunuyor.

Bu nedenle kullanılan Ubuntu sürümü kadar hangi kernel paketinin çalıştırıldığının da kontrol edilmesi gerekiyor.

Linux Kernel'in Hangi Sürümleri Etkileniyor?

Linux çekirdeğinin upstream geliştirme ağacında, güvenlik açığının Linux 4.4 ile birlikte eklenen bir değişiklikten kaynaklandığı belirtiliyor.

Linux geliştiricileri tarafından farklı kernel dalları için düzeltmeler yayımlandı.

Örnek olarak:

Kernel dalı	Düzeltilmiş upstream sürüm
Linux 5.10	5.10.272
Linux 5.15	5.15.223
Linux 6.1	6.1.190
Linux 6.6	6.6.159
Linux 6.12	6.12.113
Linux 6.18	6.18.56
Linux 7.2	7.2.10
Linux 7.3	7.3-rc7 ve sonraki uygun sürümler

Ancak bu liste doğrudan Ubuntu paket sürümleri olarak değerlendirilmemeli.

Ubuntu, Debian, Red Hat ve diğer dağıtımlar upstream düzeltmeleri mevcut kernel sürümlerine geriye dönük uygulayabiliyor.

Örneğin Ubuntu üzerinde 6.8 sürüm numarasına sahip bir kernel, üreticinin gerekli güvenlik düzeltmesini içeren paketini kullanıyorsa korunuyor olabilir.

Bu nedenle yalnızca uname -r çıktısına bakılarak kesin bir güvenlik değerlendirmesi yapmak doğru değil.

Ubuntu Sunucumuzun Etkilenip Etkilenmediğini Nasıl Kontrol Edebiliriz?

İlk olarak sunucuda çalışan işletim sistemi sürümünü kontrol edelim:

cat /etc/os-release

Ardından aktif kernel sürümünü görüntüleyelim:

uname -r

Sunucuda kurulu kernel paketlerini görmek için:

dpkg -l 'linux-image-*' 2>/dev/null | \
awk '$1=="ii" {print $2, $3}'

Bu aşamada dikkat edilmesi gereken nokta, sunucuda birden fazla kernel sürümünün kurulu olabileceğidir.

Yeni kernel paketi sisteme yüklenmiş olsa bile sunucu yeniden başlatılmadıysa eski çekirdek çalışmaya devam edebilir.

Güncellenebilir kernel paketlerini kontrol etmek için:

sudo apt update

apt list --upgradable 2>/dev/null | \
grep -E '^linux-(image|modules|generic|virtual|aws|azure|gcp|raspi|kvm)'

Bu komutlar mevcut güncelleme adaylarını gösterir. Herhangi bir güncelleme görünmemesi sistemin CVE-2026-98432 açısından güvenli olduğunu garanti etmez.

Güncellemenin gerçekten yayımlanmış ve uygulanmış olduğunu Ubuntu'nun resmi CVE kayıtları üzerinden doğrulamak gerekir.

CVE-2026-98432 Açığı Nasıl Kapatılır?

Kalıcı çözüm, ilgili güvenlik düzeltmesini içeren Linux Kernel paketinin kurulmasıdır.

Ubuntu sistemlerde güvenlik güncellemeleri aşağıdaki komutlarla kontrol edilebilir:

sudo apt update
sudo apt upgrade

Ancak burada önemli bir konu var.

Eğer ilgili Ubuntu sürümü için güvenlik yaması henüz yayımlanmadıysa bu komutları çalıştırmak CVE-2026-98432 açığını kapatmayacaktır.

Yama yayımlandığında, kullanılan kernel ailesine uygun paket kurularak güncelleme gerçekleştirilmeli.

Güncelleme sonrasında sunucunun yeniden başlatılması gerekebilir:

sudo reboot

Sunucu açıldıktan sonra aktif kernel sürümü tekrar kontrol edilmeli:

uname -r

Kernel güncellemesi yalnızca bir uygulama güncellemesi değildir.

Üretim ortamındaki sunucularda yeniden başlatma işlemi servis kesintisine neden olabileceğinden güncelleme öncesinde bakım planı oluşturulması, kritik hizmetlerin kontrol edilmesi ve gerekiyorsa yedeklerin doğrulanması önemlidir.

Özellikle veritabanı, sanallaştırma ve Kubernetes altyapılarında kernel güncellemeleri daha dikkatli planlanmalıdır.

Güvenlik Yaması Henüz Yayımlanmadıysa Ne Yapılabilir?

CVE-2026-98432 için kernel düzeltmesinin yerine geçebilecek, bütün sistemlere uygulanabilir tek bir yapılandırma değişikliği bulunmuyor.

Ancak saldırı yüzeyini azaltmak için bazı önlemler alınabilir.

Gereksiz TCP servislerinin kapatılması

İnternet üzerinden erişilmesine ihtiyaç olmayan servisler dış erişime kapatılmalıdır.

Özellikle yönetim portlarının yalnızca yetkili IP adreslerinden erişilebilir olması önemlidir.

Firewall kurallarının gözden geçirilmesi

Sunucunun internet üzerinden erişilebilir TCP portları kontrol edilmeli, gereksiz servisler firewall üzerinden engellenmelidir.

Bu önlem saldırı yüzeyini daraltır ancak açık TCP servisleri için güvenlik açığını tamamen ortadan kaldırmaz.

TCP migration yapılandırmasının kontrol edilmesi

Açığın ilişkili olduğu ek senaryolardan biri TCP request socket migration mekanizmasıdır.

İlgili yapılandırma şu komutla kontrol edilebilir:

sysctl net.ipv4.tcp_migrate_req

Bu özelliğin kapalı olması belirli saldırı senaryolarını sınırlandırabilir. Ancak güvenlik açığının temelindeki SYN/SYN-ACK yarış durumunu tek başına engellemez.

Kernel güvenlik duyurularının takip edilmesi

Ubuntu, Debian veya kullanılan diğer dağıtımın resmi güvenlik bildirimleri takip edilmeli ve düzeltme yayımlandığında ilgili kernel paketi güncellenmelidir.

Docker ve Kubernetes Sunucuları da Etkileniyor mu?

Evet. Bu güvenlik açığı container altyapılarını da ilgilendiriyor.

Docker ve Kubernetes ortamlarında container'lar genellikle çalıştıkları Linux sunucunun kernel'ini kullanır.

Dolayısıyla container içerisindeki uygulamaların güncel olması, host işletim sistemindeki kernel güvenlik açığını ortadan kaldırmaz.

Örneğin Ubuntu 24.04 üzerinde Docker ile çalışan bir uygulamanın container imajını güncellemek, host üzerindeki Linux Kernel'in de güncellendiği anlamına gelmez.

Benzer şekilde Kubernetes altyapılarında worker node'ların çalıştırdığı kernel sürümleri ayrıca kontrol edilmelidir.

Bu tür ortamlarda uygulanacak güncellemeler için node'ların sırayla bakıma alınması, iş yüklerinin uygun düğümlere taşınması ve güncelleme sonrasında kontrollerin gerçekleştirilmesi gerekir.

Güvenlik Açığı IPv6 Bağlantılarını da Etkiliyor mu?

Linux geliştiricilerinin açıklamasına göre, güvenlik açığının temelini oluşturan IPv4 socket işlemindeki hata IPv6 için aynı şekilde geçerli değil.

Bunun nedeni IPv6 tarafında ilgili IP seçeneklerinin farklı şekilde kopyalanması.

Bununla birlikte, IPv6 request socket migration mekanizmasıyla ilişkili benzer bir durumun da bulunduğu ve ayrı bir düzeltmeyle ele alınacağı belirtiliyor.

Dolayısıyla IPv6 kullanmanın sunucuyu bu güvenlik problemine karşı bütünüyle koruduğu söylenemez.

Sonuç

CVE-2026-98432, Linux çekirdeğinde ağ bağlantılarının işlenmesi sırasında ortaya çıkan önemli bir bellek yönetimi hatası.

Özellikle internet erişimi bulunan sunucularda, belirli TCP bağlantı koşullarının kernel seviyesinde hizmet kesintisine neden olabilmesi, konunun yalnızca uygulama güvenliği kapsamında değerlendirilmemesi gerektiğini gösteriyor.

Sunucu yöneticilerinin burada dikkat etmesi gereken konu, işletim sistemi güncellemelerinin yalnızca kullanıcı alanındaki yazılımları değil, Linux Kernel bileşenlerini de kapsaması gerektiği.

Ubuntu tarafında güvenlik güncellemelerinin yayımlanması ve dağıtılması takip edilmeli; ilgili paketler hazır olduğunda güncelleme planlanarak uygulanmalıdır.

Ayrıca güncelleme tamamlandıktan sonra aktif kernel sürümünün doğrulanması ihmal edilmemelidir.

CVE-2026-98432 için kalıcı çözüm, kullanılan Linux dağıtımının güvenlik düzeltmesini içeren kernel paketine geçmektir. Firewall ve servis kısıtlamaları ise bu süreçte saldırı yüzeyini azaltmaya yardımcı olan ek önlemlerdir.