CVE-2026-98432: DGN ağında IP Options taşıyan TCP paketleri engellendi
CVE-2026-98432, Linux çekirdeğinin IPv4 TCP el sıkışmasındaki kritik bir açıktır. Çekirdeğin kendi kayıt otoritesi bunu CVSS 3.1 ile 9.8, kritik olarak puanlamıştır. DGN Teknoloji, bu vektöre karşı Bursa'daki veri merkezinin ağında ek bir filtreyi devreye almıştır.
Açık, sunucu IPv4 üzerinden bir TCP bağlantısı kabul ederken, uygulama kimlik doğrulamasından önce çekirdeğin içinde çalışır. Bağlanan tarafın IPv4 başlığı IP Options taşıyorsa çekirdek bu alanı yanıtlarında kullanmak üzere saklar. Hata, saklanan alanın kopyalanmadan yeni bağlantıya devredilmesi ve bağlantı kapanırken başka bir işlemci hâlâ okuyor olabilecekken hemen serbest bırakılmasıdır. Serbest bırakılmış çekirdek belleğinin okunması bir use-after-free'dir. Uzaktaki tarafın oturum açması gerekmez.
Çekirdek kaydının puan notlarına göre sonuç, çekirdek yığın içeriğinin uzaktaki tarafa sızması, çekirdek belleğinin bozulması veya makinenin çökmesi olabilir. Red Hat aynı kaydı öncelikle hizmet kesintisine yol açan bir çöküş ya da olası bellek bozulması olarak değerlendirir ve skoru 8.1 olarak verir. Açığı bildiren Anthropic araştırmacısının kurumuna göre laboratuvar ortamında, multipath TCP dinleyen Linux sunucularında komut çalıştıran bir kavram kanıtı üretilmiştir. Bu kavram kanıtı yayımlanmamıştır. 29 Ekim 2026 akşamı itibarıyla kayıt, CISA'nın bilinen istismar kataloğunda yer almıyordu.
Kayıt 15 Ekim 2026'da cve.org üzerinde yayımlandı. Üst akıştaki düzeltme 11 ve 15 Ekim 2026'da sabit sürümlere girdi. Atlas'ın 29 Ekim 2026 tarihli derlemesine göre düzeltilmiş sürümler 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 ve 7.3'tür. Hata, Linux 4.4'ten bu yana bu düzeltmeyi almamış çekirdekleri kapsar. Ömrünü üst akışta 5.10'dan önce doldurmuş dallar için üst akış düzeltmesi yoktur. Dağıtımlar kendi sürüm numaralarıyla yama taşır. Aynı derlemede Debian ve SUSE Enterprise'ın bir bölümü düzeltmeyi dağıtmış, Ubuntu'nun izlediği çekirdekler ile RHEL 8, 9 ve 10 için henüz düzeltme görünmüyordu. Bu tablo değişir. Güncel durum, dağıtımın kendi güvenlik sayfasından kontrol edilmelidir.
IPv6 bağlantıları, düzeltme kaydına göre ilk sorundan etkilenmez. Konteyner, üzerinde çalıştığı sunucunun çekirdeğini kullanır. Yalnızca konteyner imajını yenilemek açığı kapatmaz. Asıl kapatma, düzeltilmiş çekirdeğin kurulup makinenin o çekirdekle yeniden başlatılmasıdır.
DGN Teknoloji'nin aldığı önlem bir çekirdek yaması değildir ve müşteri sunucusundaki güncellemenin yerine geçmez. Ağ cihazlarında ek güvenlik filtreleri açılmıştır. IPv4 protokolü üzerinden iletilen ve IP Options alanı içeren TCP paketleri engellenir. Amaç, olası istismarı ağın kenarında kesmek, saldırı vektörünü daraltmak ve hizmet sürekliliğini korumaktır. Çekirdek kaydının notları, sorunlu trafiğin el sıkışmada IPv4 Record Route veya Timestamp seçenekleri taşıdığını belirtir. Meşru TCP trafiği bu IP alanını neredeyse hiç kullanmaz.
Standart TCP bağlantılarının normal işleyişinin etkilenmesi beklenmez. MSS, TCP Timestamp, SACK ve Window Scaling TCP seçenekleridir. Filtre bunlara dokunmaz. Yalnızca IPv4 başlığının 20 bayttan uzun olmasına yol açan IP Options alanı hedeflenir.
Bu düzenleme, müşteri panelinde yayımlanan bildirimin uygulamasıdır. Ağ altyapısının güvenliğini artırmak, olası güvenlik açıklarının istismar edilmesini önlemek ve hizmet sürekliliğini korumak için filtreler devreye alınmıştır. Güvenlik önlemleri, altyapının ve müşteri hizmetlerinin korunması amacıyla düzenli olarak güncellenir.
Teknik döküm, dağıtım tabloları ve kaynaklar Atlas'ın 29 Ekim 2026 yazısındadır.
https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf
Resmi CVE kaydı buradadır.
https://www.cve.org/CVERecord?id=CVE-2026-98432
Sunucusunun işletim sistemini kendisi yöneten müşteriler, dağıtımları düzeltmeyi yayımladığında çekirdeği kurup yeniden başlatmalıdır. DGN ağına gelen IPv4 TCP trafiği için ek filtre, o güncelleme gelene kadar ikinci katmandır.