Linux'ta 9,8 puanlı açık: Anthropic, Claude'un uzaktan root istismarı yazdığını söylüyor
Linux çekirdeğindeki CVE-2026-98432 için kararlı dallarda yama var, Ubuntu ve Red Hat güncellemeleri ise henüz tamamlanmadı. Anthropic istismarı çıkmamış bir modelin yazdığını söylüyor, Red Hat da açığı Kritik olarak sınıflıyor.
Linux çekirdeğinin IPv4 TCP kodundaki CVE-2026-98432 açığı, çekirdek CVE ekibinden 10 üzerinden 9,8 puan aldı. Anthropic'in 27 Ekim 2026 tarihli yazısına göre şirketin henüz çıkmamış bir iç araştırma modeli, ilk yönlendirmenin ardından bu açık için bir istismar yazdı. İstismar, multipath TCP (MPTCP) dinleyicisi çalışan bir sunucuda kimlik bilgisi ya da kullanıcı etkileşimi olmadan root olarak komut çalıştırıyor. Anthropic'in denemesinde bu süreç yaklaşık 53 dakika sürdü.
Yama yayımlandı, dağıtımlar farklı hızlarda ilerliyor
Açık bir yarış koşulundan doğan serbest bırakılmış bellek kullanımı hatası ve çekirdeğin 4.4 sürümünden beri var. Düzeltme ana çekirdeğe girdi ve bakımı süren kararlı dallara taşındı. Debian, 6.1.190-1 ve 6.12.113-1 paketleriyle açığı kapattı. BleepingComputer'ın 30 Ekim tarihli haberine göre Ubuntu 22.04, 24.04, 26.04 ve 26.10 için düzeltme sürüyor, Red Hat ise RHEL 8, 9 ve 10'u etkilenmiş olarak listeliyor. Aynı habere göre açığın gerçek saldırılarda kullanıldığına dair doğrulanmış bir bildirim yok.
Asıl çözüm çekirdek güncellemesi. Paket henüz gelmediyse erişimi güvenilen ağlarla sınırlamak riski azaltıyor. CIQ, IP seçenekleri taşıyan IPv4 TCP paketlerinin engellenmesini öneriyor ve yalnız MPTCP'yi kapatmanın yetmeyeceğini söylüyor, çünkü hata sıradan TCP trafiğiyle de tetiklenebiliyor. Go 1.24'ten itibaren Go uygulamaları, çekirdek desteklediğinde TCP dinleyicilerinde MPTCP'yi varsayılan olarak açıyor. Bu yüzden yöneticiler farkında olmadan böyle bir dinleyici çalıştırıyor olabilir.
Anthropic'in anlatımı ve sınırları
Red Hat'in sayfası açığı Kritik olarak sınıflıyor ve 9,8 puanını gösteriyor, ancak bu puanın ön değer olduğunu ve gözden geçirileceğini belirtiyor. MPTCP dinleyicisi olmayan sunucularda uzaktan kod çalıştırma şimdiye kadar herkese açık biçimde gösterilmedi. Anthropic'in yazısında Chrome'da 62 CVE ile sonuçlanan bulgular, Safari, Android kilit ekranı ve Windows QUIC zincirleri de yer alıyor. Şirket bunları sınırlı insan katkısıyla yapılan bir çalışma olarak anlatıyor, ancak başarı oranı, maliyet ya da zincir başına harcanan insan emeği vermiyor. Bu anlatım Anthropic'in kendi çalışmasına dayanıyor. Sonuçları farklı açılardan görmek için bağımsız araştırmacıların değerlendirmelerini de takip edin.
Kaynaklar: Anthropic, Ubuntu, Debian, Red Hat, BleepingComputer
