# Kritik Linux TCP açığı: Web sitesi işletmecileri şimdi ne yapmalı? > CVE-2026-98432, Linux çekirdeğini etkiliyor ve CVSS 3.1 puanı 9,8. Hosting sağlayıcınızdan eksiksiz paket sürümünü ve düzeltmenin etkin olduğunu doğrulamasını isteyin. - Quelle: https://bezahlbare-webseite.de/tr/ratgeber/linux-kernel-tcp-rce-was-tun/ - Datum: 2026-11-03 - Sprache: tr - Thema: Technik & Sicherheit CVE-2026-98432, işletim sisteminin temelini oluşturan Linux çekirdeğindeki TCP işlemesini etkiliyor. Linux-CNA ve Red Hat, açığı CVSS 3.1 kapsamında 10 üzerinden 9,8 puanla kritik olarak değerlendiriyor. Hosting sağlayıcınızdan düzeltilmiş paket sürümünü ve düzeltmenin çalışan çekirdekte etkin olduğunu doğrulamasını isteyin. Araştırma tarihi: 3 Kasım 2026. ## Linux’ta ne oldu? CVE-2026-98432 bir use-after-free açığıdır: Başka bir süreç hâlâ erişirken çekirdek, belirli IPv4 seçenekleri için ayrılan belleği çok erken serbest bırakabilir. TCP bağlantısının kurulması etkilenmektedir. Upstream düzeltmesi 5 Ekim 2026 tarihlidir; Linux-CNA kaydı 15 Ekim’de yayımlanmış ve 3 Kasım’da güncellenmiştir. İstismar için bağlantı bekleyen ve erişilebilir bir IPv4 TCP hizmeti ile IPv4 Record Route veya Timestamp seçeneklerini içeren özel olarak hazırlanmış SYN paketleri gerekir. Bu IP seçenekleri, sıradan TCP zaman damgaları değildir. İstismar, birbiriyle yarışan bağlantı ve yeniden iletim süreçlerine dayanır. Oturum açılması, yerel yetkiler veya işletmecinin tıklaması gerekmez: İşleme, uygulama kimlik doğrulamasından önce çekirdekte gerçekleşir. Sıradan bir web sitesi ziyareti, kanıtlanmış bir tetikleme yöntemi değildir. “StackWarp”, AMD-SEV sanallaştırması ve CVE-2025-29943 ile ilgili başka bir araştırma projesidir. Burada ele alınan TCP açığı için CVE-2026-98432 tanımlayıcısını kullanın. ## CVE-2026-98432 gerçekte ne kadar tehlikeli? Olası sonuçlar arasında çekirdek çökmesi, bilgi sızıntısı ve uygun koşullarda çekirdek bağlamında, yani en yüksek sistem yetkileriyle yabancı kod çalıştırılması bulunur. Güvenilir uzaktan kod yürütme (RCE), ek istismar koşulları gerektirir. 9,8 puanı Linux-CNA ve Red Hat’e aittir. SUSE, daha yüksek bir saldırı karmaşıklığı varsayımıyla aynı CVE’yi CVSS 3.1 kapsamında 8,1, ayrıca CVSS 4.0 kapsamında 9,2 olarak değerlendiriyor. Sürümler ile değerlendirme varsayımları birbirinden ayrılmalıdır. Anthropic, 27 Ekim’de MPTCP listener kullanılan bir araştırma ortamında root yetkileriyle başarılı bir RCE belgeledi. Red Hat’e göre temel açık MPTCP olmadan da mevcuttur. Araştırma kanıtı, her sıradan web sunucusuna karşı güvenilir bir saldırının mümkün olduğunu göstermez. Tek başına bir tarama veya saldırı girişimi de başarılı bir ihlali kanıtlamaz. İncelenen birincil kaynaklarda 3 Kasım 2026 itibarıyla aktif istismara dair güvenilir bir doğrulama bulunmamaktadır. CVE, bilinen istismar edilmiş açıkları içeren ve 30 Ekim 2026 tarihli sürümü kontrol edilen CISA kataloğunda yer almamaktadır. Bu bulgular ne saldırıların bulunmadığını ne de sunucunuzun korunduğunu kanıtlar. ## Hangi çekirdek sürümleri bu açığı düzeltiyor? Aşağıdaki liste, Linux-CNA’ya göre düzeltilmiş ilk upstream sürümlerini göstermektedir. Bu liste dağıtım çekirdeklerine doğrudan uygulanamaz: Üreticiler düzeltmeleri daha eski bir temel sürüm numarasına sahip paketlere aktarabilir. Ürün dalı, eksiksiz paket sürümü ve üretici advisory belgesi belirleyicidir. Red Hat, 1 Kasım’da düzeltilmiş paketleri yayımladı: RHEL 8.10 için `kernel-4.18.0-553.182.1.el8_10`, RHEL 9.8 için `kernel-5.14.0-687.64.1.el9_8` ve RHEL 10.2 için `kernel-6.12.0-211.72.1.el10_2`. Red Hat’e göre RHEL 7, savunmasız kodu içermediğinden etkilenmemektedir; bu, genel güvenlik durumu hakkında bir bilgi vermez. Debian, Debian 12 (`linux`: `6.1.190-1`; `linux-6.12`: `6.12.113-1~deb12u1`) ve Debian 13 (`linux`: ilk düzeltme `6.12.113-1`) için güvenlik güncellemelerini doğrulamaktadır. Ubuntu 22.04, 24.04 ve 26.04 için genel çekirdeklere yönelik hedef paketler `-proposed` test kanalında belgelenmiştir, ancak burada genel bir kararlı sürüm doğrulanmamıştır. Ubuntu 26.10 için blog ile daha yeni takip sistemi arasındaki çelişki henüz çözülmemiştir. Belirli paket adını ve dalı kontrol ettirin. - Upstream 5.10: 5.10.272 sürümünden itibaren düzeltildi - Upstream 5.15: 5.15.223 sürümünden itibaren düzeltildi - Upstream 6.1: 6.1.190 sürümünden itibaren düzeltildi - Upstream 6.6: 6.6.159 sürümünden itibaren düzeltildi - Upstream 6.12: 6.12.113 sürümünden itibaren düzeltildi - Upstream 6.18: 6.18.56 sürümünden itibaren düzeltildi - Upstream 7.2: 7.2.10 sürümünden itibaren düzeltildi; mainline düzeltmesi 7.3’te Daha eski upstream serilerinin belirtilmemesi, güvende oldukları anlamına gelmez; bunların desteği için üreticiden ayrı bir kanıt gerekir. Bulut, gerçek zamanlı, HWE, FIPS ve diğer özel çekirdekler ayrı ayrı kontrol edilmelidir. ## Web sitenizin etkilenip etkilenmediğini nasıl kontrol edebilirsiniz? Belirleyici olan, web sitesinin altında çalışan çekirdektir. AWS, WordPress, LAMP ve Plesk imajlarını da açıkça kontrol edilmesi gereken durumlar arasında saymaktadır. WordPress, eklentiler, nginx veya Apache sürümlerinin kontrolü, çekirdek kontrolünün yerini almaz. Shared veya Managed Hosting kullanıyorsanız sağlayıcıdan işletim sistemini ve bakım durumunu belirlemesini isteyin. Kendi yönettiğiniz VPS veya bulut sunucularında kontrolü siz ya da yöneticiniz yapmalıdır. Docker konteynerleri host çekirdeğini paylaşır; yeni bir konteyner çekirdeği düzeltmez. Sanal makinelerin kendi çekirdekleri vardır: Gerektiğinde host ve guest ayrı ayrı kontrol edilmelidir. Yöneticiler çalışan çekirdeği `uname -r` komutuyla belirler. Ayrıca eksiksiz paket sürümünü de tespit etmeleri gerekir: Debian/Ubuntu’da `dpkg-query`, RPM sistemlerinde `rpm -q` ile. Debian’da kaynak paket sürümü de advisory karşılaştırmasına yardımcı olur. Dağıtım son ekini ve paket adını saklayın; bir paketin bulunamaması, sistemin güvende olduğu anlamına gelmez. Tek başına yüklü bir paket, düzeltmenin etkin olduğunu kanıtlamaz. Plesk’in sistem güncelleme işlevi çekirdek paketlerini hariç tutar. Bu nedenle paneldeki “Güncel” durumu yeterli değildir. cPanel’in genel Security Advisor aracı da CVE’ye özgü bir kanıt değildir. Yetkileriniz kısıtlıysa sağlayıcıyı sürece dahil edin. ## Hosting sağlayıcınıza ne yazmalısınız? Alan adınızı veya müşteri numaranızı ekleyin ve şu talebi gönderin: “Merhaba, hosting hizmetimin veya sunucumun Linux çekirdeği CVE-2026-98432’den etkileniyor mu? Lütfen dağıtımı, çekirdek dalını, eksiksiz düzeltilmiş paket sürümünü, gerçekte çalışan çekirdeği ve ilgili üretici advisory belgesini belirtin. Düzeltme, yeniden başlatma sonrasında veya bu CVE’ye uygun ve yüklenmiş bir livepatch aracılığıyla etkin mi? Gerektiğinde sanallaştırma host’unu, VM guest’i ve konteyner host çekirdeğini dikkate alın. Düzeltme henüz yapılmadıysa: Üreticinin belgelediği hangi geçici önlem etkin, bunun kısıtlamaları neler ve güncelleme ile gerekli bakım aralığı ne zaman gerçekleştirilecek? Lütfen yanıtınızda kontrol tarihini de belirtin.” Red Hat, SUSE, Canonical ve AlmaLinux, açıklanan çekirdek güncellemeleri için yeniden başlatma gerektiğini belirtmektedir. Livepatch, yalnızca bu CVE’yi ve çalışan çekirdeği kapsadığı kanıtlanırsa bir alternatif olabilir. Araştırmada buna karşılık gelen bir Ubuntu Livepatch veya Red Hat kpatch kanıtı doğrulanmamıştır; hizmet durumunun yeşil olması yeterli değildir. ## Çekirdek güncellemesi hemen yapılamıyorsa ne yapmalısınız? Üreticinin onayladığı güncelleme önceliklidir. Bir bakım aralığı planlayın. Uygun paketin yüklenmesini sağlayın ve gerekli yeniden başlatmadan sonra çalışan çekirdeği yeniden kontrol ederek düzeltilmiş paketle eşleştirin. Red Hat, IPv4 seçenekleri içeren TCP trafiğine karşı bir filtre belgelemektedir. Bu filtre saldırı yüzeyini azaltır, ancak saldırıları tamamen önlemediği açıkça belirtilmektedir. Ağ ad alanları, konteynerler ve gerçek paket yolları etkisini sınırlayabilir. Bir yönetici, üretici kuralını ilgili ortama uygun biçimde test etmelidir; bu kural güncellemenin yerini almaz. Canonical’a göre yalnızca MPTCP’yi devre dışı bırakmak yeterli değildir. İncelenen birincil kaynaklarda Cloudflare veya bir Web Application Firewall’un (WAF) bu CVE’ye karşı kapsamlı koruma sağladığına dair kanıt bulunmamaktadır. Hata, ağ ve çekirdek katmanlarını etkiler. Ne güncelleme ne de erişilebilirliğin etkili biçimde sınırlandırılması mümkünse geçici izolasyon veya kapatma, işletmeciyle kararlaştırılması gereken son seçenek olarak kalır. ## Linux TCP güvenlik açığı hakkında sık sorulan sorular ### Güncel WordPress eklentileri yeterli mi? Hayır. Eklenti güncellemeleri, çalışan çekirdeğin düzeltildiğini kanıtlamaz. CVE-2026-98432 ile ilgili durumunu doğrulatın. ### Cloudflare web sitenizi korur mu? İncelenen kaynaklar, bu CVE’ye karşı kapsamlı koruma sağlandığını kanıtlamamaktadır. Çekirdeği kontrol ettirin ve etkileniyorsa güncelleyin. ### Açık, statik bir web sitesini de etkiler mi? Site, erişilebilir bir IPv4 TCP hizmeti bulunan savunmasız bir Linux sisteminde barındırılıyorsa çekirdeğin orada da kontrol edilmesi gerekir. Sunulan içerik, sistemin etkilenip etkilenmediğini belirlemez. ### CVSS 3.1 kapsamında 9,8 puan, bir ihlali kanıtlar mı? Hayır. Puan, değerlendirme varsayımları çerçevesindeki teknik ciddiyeti açıklar. Araştırma amaçlı RCE ve olası istismar edilebilirlik, sunucunuzda bir ihlal yaşandığını kanıtlamaz. ### Yüklenen yeni çekirdek otomatik olarak etkin olur mu? Hayır. Gerekli yeniden başlatmayla veya bu CVE’ye uygun olduğu kanıtlanmış, yüklenmiş bir livepatch ile etkinleştirildiğini doğrulatmanız gerekir. ### Sunucu komutlarını kendiniz çalıştırmak zorunda mısınız? Shared veya Managed Hosting kullanıyorsanız talebi hosting sağlayıcınıza gönderin. Kendi yönettiğiniz sunucularda paket sürümünü, çalışan çekirdeği ve üretici advisory belgesini karşılaştırması için bir yöneticiyi görevlendirmelisiniz. --- Veröffentlicht von bezahlbare-webseite.de — Website im Abo ab 79 €/Monat. https://bezahlbare-webseite.de/