Anthropic’in yayımlanmamış bir araştırma modeli, kendisine verilen görev doğrultusunda Linux çekirdeğinde bulunan bir güvenlik açığı için çalışan bir exploit geliştirdi. Gösterimde hazırlanan exploit, belirli koşullar altında uzaktaki bir saldırganın Linux sunucusunda en yüksek yetki düzeyi olan root yetkisiyle komut çalıştırmasına imkân veriyordu. Saldırının gösterilen biçiminde hedef sistemde bir kullanıcı hesabına giriş yapılması veya kullanıcının bağlantıyı onaylaması gerekmiyordu; sunucuyla ağ üzerinden TCP bağlantısı kurmak yeterliydi.
Bu çalışma, yapay zekâ modellerinin güvenlik araştırmalarında karmaşık teknik görevleri ne ölçüde üstlenebildiğine ilişkin önemli bir örnek olarak değerlendiriliyor. Bununla birlikte, bir modelin belirli bir laboratuvar koşulunda exploit geliştirmiş olması, açığın her Linux sisteminde kolayca kullanılabileceği anlamına gelmiyor. Başarının hedef sistemin çekirdek sürümüne, yapılandırmasına, güvenlik önlemlerine ve saldırganın bellek düzeni üzerindeki kontrolüne bağlı olduğu unutulmamalı.
Gösterimde exploit nasıl geliştirildi?
Anthropic’in 27 Ekim’de paylaştığı gösterimde model, ilk görevi aldıktan sonra Linux çekirdeğindeki açık için kendi başına çalışan bir saldırı kodu oluşturdu. Hedef olarak çoklu yollu TCP’nin (MPTCP) etkin olduğu bir sunucu kullanıldı. MPTCP, tek bir bağlantının birden fazla ağ arayüzü üzerinden veri taşımasına olanak veren bir TCP uzantısıdır. Gösterimde bu protokol, açığı uzaktan tetiklemek için kullanılabilecek bir bağlantı yolu sağladı.
Exploitin çalışması için önce KASLR korumasının aşılması gerekiyordu. KASLR, çekirdek bileşenlerini bellekte farklı ve rastgele konumlara yerleştirerek saldırganın sabit bellek adreslerini tahmin etmesini zorlaştırır. Anthropic’in aktardığına göre model bu aşamayı yaklaşık 48 dakikada tamamladı. Sonraki aşamada ise çekirdekte kontrol elde edilerek root yetkisiyle komut çalıştırılması yaklaşık beş dakika sürdü. Gösterimdeki toplam çalışma süresi böylece yaklaşık 53 dakika oldu.
Bu süre, gösterimin yapıldığı belirli ortam ve koşullara aittir; tüm sistemlerde aynı sonucun aynı hızla alınacağını göstermez. Ayrıca Anthropic exploit kodunu kamuya açıklamadı. Bu nedenle üçüncü tarafların gösterimi aynı koşullarda bağımsız biçimde tekrarlaması veya kodun farklı sistemlerde nasıl davranacağını incelemesi mümkün değil.
CVE-2026-98432 açığının teknik niteliği
Haberde CVE-2026-98432 olarak belirtilen açık, IPv4 TCP bağlantılarının işlenmesi sırasında ortaya çıkabilen bir bellek güvenliği sorunu olarak tanımlanıyor. Sorunun temelinde, birden fazla işlemci çekirdeğinin aynı veriye eş zamanlı erişmesiyle oluşabilecek yarış durumu bulunuyor. Böyle bir durumda işlemlerden biri bellekteki bir nesneyi serbest bırakırken başka bir işlemci o nesneyi kullanmayı sürdürebilir.
Serbest bırakılmış belleğe daha sonra erişilmesi use-after-free olarak adlandırılır. Bellek alanı serbest bırakıldıktan sonra başka amaçla kullanılmaya başlanmışsa, eski veriye erişen işlem beklenmeyen sonuçlara yol açabilir. Çekirdek düzeyinde bu tür bir hata sistemin kararlılığını bozabilir ve uygun koşullarda saldırganın kod yürütme kontrolü elde etmesine yardımcı olabilir. Ancak bu sonuç, açığın her tetiklenişinde otomatik olarak ortaya çıkmaz; işlem zamanlaması ve sistemin çalışma koşulları gibi etkenler önem taşır.
Açığın Linux çekirdeğinin 4.4 sürümünden beri bulunduğu bildiriliyor. Bu, söz konusu döneme ait tüm sistemlerin mutlaka savunmasız olduğu anlamına gelmez. Dağıtımlar çekirdeğe kendi yamalarını ve yapılandırma değişikliklerini uygulayabilir. Bu nedenle risk değerlendirmesi yapılırken yalnızca sürüm numarasına bakmak yerine kullanılan Linux dağıtımının güvenlik duyuruları ve paket bilgileri kontrol edilmelidir.
Risk puanları neden farklı?
ABD Ulusal Güvenlik Açığı Veritabanı (NVD), açık için CVSS ölçeğinde 10 üzerinden 9,8 puan bildirdi. CVSS, güvenlik açıklarının etkisini ve saldırı koşullarını ortak ölçütlerle değerlendirmeye yarayan bir puanlama sistemidir. Bu yüksek puan, uzaktan erişim ve potansiyel olarak ciddi sonuçlar gibi unsurların risk değerlendirmesinde önemli olduğunu gösterir.
Red Hat ise kendi değerlendirmesinde 5,9 puan verdi. Kurumun daha düşük puan vermesinin belirtilen gerekçesi, saldırganın gerekli işlemci zamanlaması yarışını kazanmasının pratikte kolay olmamasıdır. Farklı puanlar, kurumların saldırı olasılığını, etkilenen ürünleri ve kullanım koşullarını farklı yöntemlerle değerlendirmesinden kaynaklanabilir. Bu nedenle puanlardan biri tek başına tüm sistemler için kesin risk ölçüsü sayılmamalı; kullanılan ürün ve dağıtıma ilişkin üretici açıklamaları da dikkate alınmalıdır.
MPTCP, gösterimde uzaktan tetikleme için kullanılan bir yol olsa da açığın yalnızca bu protokolle sınırlı olduğu sonucuna varılmamalıdır. Haberde sorun, IPv4 TCP bağlantılarının işlenmesiyle ilişkilendiriliyor; MPTCP ise bu bağlantı özelliklerini kullanarak senaryoyu göstermeye elverişli bir seçenek olarak öne çıkıyor. Sistem yöneticileri, yalnızca MPTCP’yi kapatmanın tüm riskleri ortadan kaldırdığını varsaymamalı ve dağıtımlarının yayımladığı teknik yönlendirmeleri izlemelidir.
Yama yayımlanan çekirdek sürümleri
Açık için düzeltmeler ana Linux geliştirme dalına ve çeşitli kararlı çekirdek sürümlerine eklenmiş durumda. Bildirilen yamalı sürümler şunlardır:
- 5.10.272
- 5.15.223
- 6.1.190
- 6.6.159
- 6.12.113
- 6.18.56
- 7.2.10
- 7.3
Bu numaralar, her Linux kullanıcısının doğrudan aynı sürüme geçmesi gerektiği anlamına gelmez. Ubuntu, Red Hat ve diğer dağıtımlar çekirdek düzeltmelerini kendi paketlerine uyarlayabilir; güvenlik düzeltmesi farklı bir paket sürümünde veya dağıtıma özgü bir güncellemede sunulabilir. Dolayısıyla yöneticilerin kullandıkları dağıtımın güvenlik duyurularını kontrol etmeleri ve uygun güncellemeyi dağıtımın önerdiği yöntemle yüklemeleri gerekir.
Haberde Ubuntu’nun güncellemeyi hazırlamakta olduğu, Red Hat’in ise kurumsal Linux dağıtımı RHEL için yama yayınını ertelediği belirtiliyor. Bu tür zamanlama farklılıkları, dağıtımların düzeltmeyi test etme ve desteklenen ürünlere uyarlama süreçlerinden kaynaklanabilir. Bir yama henüz kullanıma sunulmamışsa sistem yöneticileri üretici duyurularını düzenli olarak izlemeli, geçici azaltım adımlarını yalnızca üreticinin önerdiği biçimde uygulamalıdır.
Sistem yöneticileri için değerlendirme
İlk adım, etkilenen olabilecek Linux sunucularının hangi çekirdek ve dağıtım sürümünü kullandığını belirlemektir. Ardından dağıtımın güvenlik bültenlerinde CVE-2026-98432 için yayımlanan açıklama ve güncelleme durumu kontrol edilmelidir. Uygun yama yayımlandığında güncelleme planlı şekilde kurulmalı; çekirdek güncellemesinden sonra gerekiyorsa sistem yeniden başlatılarak yeni çekirdeğin etkin olduğu doğrulanmalıdır.
MPTCP’nin kullanılmadığı ortamlarda bu özelliğin kapatılması, saldırı yüzeyini azaltmaya yardımcı olabilecek bir değerlendirme konusu olabilir. Ancak açık TCP bağlantılarının işlenmesiyle ilgili olduğundan, bu önlemin yamaya eşdeğer olduğu varsayılmamalıdır. Ağ erişimini sınırlamak, gereksiz hizmetleri kapatmak ve sistemleri güncel tutmak genel savunma yaklaşımının parçalarıdır; açığa yönelik kesin ve kalıcı çözüm ise ilgili dağıtımın sağladığı güvenlik düzeltmesini uygulamaktır.
Paylaşılan bilgilerde CVE-2026-98432 kullanılarak gerçekleştirilmiş bir saldırının bildirildiği belirtilmiyor. Ayrıca açık, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansının (CISA) aktif olarak sömürüldüğü bilinen güvenlik açıkları kataloğunda yer almıyor. Bu durum, açığın önemini ortadan kaldırmaz; yalnızca haberdeki bilgiler kapsamında doğrulanmış aktif saldırı bildirimine rastlanmadığını ifade eder. Kurumlar yamaları geciktirmeden takip etmeli ve güvenlik durumlarını kendi sistem yapılandırmalarına göre değerlendirmelidir.
