CVE-2026-98432 Linux TCP boşluğu: serverləri necə qorumalı

CVE-2026-98432 nədir?

CVE-2026-98432 Linux əməliyyat sistemlərinin özəyi olan Linux nüvəsində aşkarlanmış zəiflikdir. Onun rəsmi adı ipv4: free inet_opt and ireq_opt after an RCU grace period-dir ^[1]. Identifikatoru Linux nüvəsinin CVE komandası təyin edib və qeydi 15 oktyabr 2026-da dərc edib ^[1]. Qeyddə ona CVSS 3.1 üzrə 9.8 baza balı verilib ki, bu da Kritik səviyyədir ^[1].

Bu boşluq use-after-free növündəndir: proqram yaddaş sahəsini azad etdikdən sonra da ondan istifadə etməyə davam edir, halbuki həmin yaddaşda artıq başqa məlumat ola bilər. Burada xəta daxil olan IPv4 TCP bağlantı sorğularını emal edən koddadır ^[10]. CVSS vektoru AV:N/AC:L/PR:N/UI:N-dir. Bu o deməkdir ki, hücum şəbəkə üzərindən aparılır, mürəkkəbliyi aşağıdır, nə səlahiyyət, nə də istifadəçi müdaxiləsi tələb edir ^[1].

Xəta Linux 4.4-dən, 079096f103fa kommiti ilə daxil olduğu vaxtdan mövcuddur ^[2]. Eric Dumazet-in yazdığı düzəliş 5 oktyabr 2026-da kommit edilib və artıq əsas (mainline) nüvədədir ^[3]. O, dəstəklənən stabil budaqlara da köçürülüb ^[2][4].

Hansı sistemlərə təsir edir?

Red Hat bildirir ki, boşluq IPv4 TCP şəbəkəsi aktiv olan və zəif nüvə ilə işləyən istənilən sistemə təsir edir. Daxil olan TCP bağlantılarını qəbul edən sistemlər ən birbaşa təhlükə altındadır ^[6]. AlmaLinux etibarsız şəbəkələrdən IPv4 TCP bağlantıları qəbul edən istənilən sistemi həssas hesab etməyi tövsiyə edir ^[10]. Əsas problem IPv6-ya təsir etmir ^[2].

Zəiflik necə işləyir?

TCP bağlantısı əl sıxma (handshake) prosesi ilə başlayır. Müştəri SYN paketi göndərir, server SYN-ACK ilə cavab verir, müştəri isə bunu təsdiqləyir. SYN paketi IP başlığındakı əlavə, isteğe bağlı sahələr olan IPv4 seçimləri daşıya bilər. Record Route və Timestamp buna iki nümunədir ^[1].

Nüvədəki təsvirə görə, tcp_v4_syn_recv_sock() funksiyası saxlanmış seçimləri surətini çıxarmadan yeni törəmə sokete ötürür ^[2]. Bu vaxt digər prosessor nüvəsi eyni sorğu üçün təkrar göndərilmiş SYN-i emal edib həmin seçimləri oxuyan SYN-ACK qura bilər ^[2]. SYN-ACK hələ qurularkən törəmə soketin azad edilməsinin qarşısını heç nə almır. Onun seçimləri adi kfree() ilə azad edilir, buna görə də nüvə ip_options_build() daxilində artıq azad olunmuş yaddaşı oxuyur ^[2].

Sorğu soketlərinin miqrasiyası aktiv olduqda, yəni net.ipv4.tcp_migrate_req=1 və ya BPF reuseport proqramı vasitəsilə, ikinci, oxşar yarış vəziyyəti (race condition) yaranır ^[2]. Düzəliş inet_sock_destruct() və tcp_v4_reqsk_destructor() funksiyalarında kfree_rcu() istifadə edərək hər iki azadetmə yolunu RCU güzəşt dövrünü gözləməyə məcbur edir ^[2]. RCU (read-copy-update) yaddaşın azad edilməsini heç bir oxucunun ondan istifadə edə bilməyəcəyi ana qədər təxirə salan nüvə texnikasıdır.

Hücum edən bununla nə edə bilər?

CVE qeydinin qiymətləndirmə qeydləri üç təsiri təsvir edir ^[1]:

• Məlumatın ifşası: azad edilmiş yaddaş başqa məlumatla doldurula bilər və onun məzmunu hücum edənə geri göndərilən SYN-ACK-ə köçürülə bilər ^[1].
• Yaddaşın korlanması: köhnəlmiş uzunluq və ofset dəyərləri nüvənin yazma əməliyyatlarını sərhədlərdən kənara yönəldə bilər, bu da idarəetmə axınının korlanmasına gətirib çıxara bilər ^[1].
• Çökmələr: təkrar istifadə olunmuş uzunluq dəyəri kernel panic yarada bilər, kənara düşən yazmalar da nüvəni çökdürə bilər ^[1].

Red Hat əlavə edir ki, zamanlamaya bu qədər həssas olan bir xəta vasitəsilə kodun etibarlı şəkildə icrası heap üzərində dəqiq nəzarət tələb edir. Bununla belə, şirkət xətanı Kritik hesab edir, çünki heç bir şəbəkə ilkin şərti tələb olunmur və o, ciddi qeyri-sabitliyə səbəb ola bilər ^[7].

Anthropic nəyi açıqladı və MPTCP hansı rolu oynayır?

27 oktyabr 2026-da Anthropic-in Frontier Red Team komandası Claude modellərindən istifadə etməklə tapdığı zəifliklər barədə hesabat dərc etdi ^[4][11]. CVE-2026-98432 üçün bildirilir ki, komanda Multipath TCP (MPTCP) dinləyicisi olan Linux serverlərində uzaqdan hücum edənə heç bir etimadnamə və istifadəçi müdaxiləsi olmadan root kimi istənilən əmri icra etməyə imkan verən eksploit hazırlayıb ^[4]. MPTCP bir bağlantının eyni anda bir neçə şəbəkə yolundan istifadə etməsinə imkan verən TCP genişlənməsidir.

Anthropic iki mərhələni təsvir edir. Əvvəlcə eksploit nüvənin ünvan təsadüfiləşdirməsi olan KASLR-i keçmək üçün nüvə göstəricisini sızdırır. Sonra o, geri çağırma (callback) göstəricisinin üzərinə yazır ki, nüvə hücum edənin seçdiyi əmri root kimi icra etsin ^[4]. Uduzulmuş yarış yalnız əl sıxmanı uğursuz edir və sistemi çökdürmür, buna görə də hücum edən cəhdləri təkrarlaya bilər ^[4]. Anthropic-in konsept sübutunda nüvə göstəricisinin sızdırılması 48 dəqiqə, əmrin icrası isə daha 5 dəqiqə çəkib ^[4].

MPTCP mütləq lazımdırmı?

Boşluğu qiymətləndirmiş təchizatçılara görə, xeyr. Red Hat bildirir ki, MPTCP bu boşluq üçün zəruri şərt deyil və MPTCP söndürülmüş sistemlər də həssas olaraq qalır ^[6]. Go təhlükəsizlik komandası deyir ki, nümayiş etdirilən eksploit MPTCP dinləyicisi tələb edir, lakin əsas xəta MPTCP-yə xas deyil ^[5]. Go burada ona görə vacibdir ki, Go 1.24-dən bəri Go proqramları Linux-da dinləyən soketlər üçün MPTCP-ni standart olaraq aktiv edir ^[5].

Akamai-yə görə, Anthropic root eksploitini yayımlamayıb və 2 noyabr 2026-da Akamai ictimai işlək eksploitdən xəbərdar olmadığını bildirib ^[11].

Hansı nüvə versiyaları və distributivlər düzəldilib?

Nüvənin CVE komandası bu upstream düzəlişlərini sadalayır: 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 və mainline 7.3 ^[2]. Lakin istifadəçilərin çoxu öz versiya nömrələrindən istifadə edən distributivin qurduğu nüvə ilə işləyir. Upstream nömrələrini müqayisə etmək əvəzinə distributivinizin təhlükəsizlik bildirişini yoxlayın.

3 noyabr 2026 tarixinə vəziyyət:

• Red Hat Enterprise Linux: RHEL 8, 9 və 10 üçün düzəldilmiş nüvələr 1 noyabr 2026-da buraxılıb. RHEL 6 və 7 təsirə məruz qalmayan kimi göstərilir. RHEL 9 real vaxt nüvəsi və OpenShift node obrazları hələ də həssas kimi qeyd olunur ^[7].
• Ubuntu: Ubuntu problemi Kritik kimi qiymətləndirir. Onun izləyicisi 26.10, 26.04 LTS, 24.04 LTS və 22.04 LTS versiyalarını düzəlişləri hazırlanmaqda olan həssas versiyalar kimi göstərir; 20.04, 18.04 və 16.04 də həssas, 14.04 isə təsirə məruz qalmayan kimi qeyd olunur ^[8].
• Debian: düzəlişlər Debian 12 bookworm (linux 6.1.190-1 və linux-6.12 6.12.113-1~deb12u1), Debian 13 trixie (linux 6.12.113-1) və unstable üçün mövcuddur ^[9].
• AlmaLinux: AlmaLinux 8, 9 və 10 üçün düzəldilmiş nüvələr istehsal repozitoriyalarındadır ^[10].
• Digərləri: Akamai bildirib ki, 30 oktyabr 2026-ya qədər SUSE, Oracle Linux və Amazon Linux 2023 bəzi buraxılışlar üçün düzəldilmiş nüvələr təqdim edib ^[11].

Bəs Android telefonlar?

Android Linux nüvəsindən istifadə edir, lakin 2 noyabr 2026-da dərc olunmuş Android Security Bulletin-də CVE-2026-98432 yoxdur ^[13]. Telefon sahibləri istehsalçılarının buraxdığı təhlükəsizlik yeniləmələrini quraşdırmalıdır.

Serverin həssas olub-olmadığını necə yoxlamaq olar?

1. İşləyən nüvəni müəyyən edin. uname -r əmrini işə salın. Düzəliş yalnız maşın yeni nüvə ilə yenidən başladıldıqdan sonra qüvvəyə minir. AlmaLinux istifadəçilərə sistemi yenidən başlatmağı və versiyanı uname -r ilə təsdiqləməyi tövsiyə edir ^[10].
2. Təchizatçınızın izləyicisi ilə müqayisə edin. CVE-2026-98432-ni distributivinizin təhlükəsizlik səhifəsində axtarın. Red Hat ^[7], Ubuntu ^[8], Debian ^[9] və AlmaLinux ^[10] düzəlişi ehtiva edən paket versiyalarını göstərir.
3. MPTCP-ni yoxlayın. sysctl net.mptcp.enabled MPTCP-nin aktiv olub-olmadığını göstərir. sudo ss -lnMp MPTCP dinləyicilərini və onlara sahib olan prosesləri sadalayır ^[10]. Akamai həmçinin net.ipv4.tcp_migrate_req parametrini yoxlamağı təklif edir ^[11].
4. Go xidmətlərini axtarın. Go 1.24 və ya daha yeni versiya ilə qurulmuş Go proqramları Linux-da standart olaraq MPTCP dinləyiciləri açır ^[5]. Buna görə də işlətdiyiniz istənilən Go xidməti Anthropic-in istismar etdiyi yolu açıq qoya bilər.
5. Üzərində qurulmuş məhsulları yoxlayın. Red Hat xəbərdarlıq edir ki, RHEL nüvəsi üzərində qurulmuş istənilən məhsul, o cümlədən OpenShift, OpenStack və Red Hat Virtualization da təsirə məruz qala bilər ^[6].

CVE-2026-98432-ni necə düzəltmək və ya riskini azaltmaq olar?

Əsl həll yamaqlanmış nüvədir. Red Hat nüvə yeniləmələrinin tətbiqini yeganə tam həll adlandırır ^[6], Go təhlükəsizlik komandası isə ən yaxşı həllin yamaqlanmış nüvəyə keçmək olduğunu deyir ^[5]. Distributivinizin nüvə yeniləməsini quraşdırın, sistemi yenidən başladın və işləyən versiyanı təsdiqləyin.

Yamaq gələnə qədər nə etmək olar?

• IPv4 seçimləri olan TCP paketlərini atın. Red Hat dərc etdiyi, Ubuntu izləyicisinin isə istifadəçi təklifi olan müvəqqəti həll kimi göstərdiyi nftables qaydası IP başlığı əsas 20 baytdan uzun olan, yəni seçimlər daşıyan daxil olan IPv4 TCP paketlərini atır (ip hdrlength > 5) ^[6][8]. Timestamp və pəncərə miqyaslanması kimi adi TCP seçimləri TCP başlığında yerləşir və bundan təsirlənmir ^[8]. Hər iki təchizatçı bildirir ki, qayda riski azaldır, lakin istismarın qarşısını tam ala bilmir ^[6][8].
• Qaydanın məhdudiyyətlərini bilin. AlmaLinux qeyd edir ki, onun variantı yenidən başlatmadan sonra qorunmur, eyni hostdakı konteynerlər arasındakı trafik onu keçə bilər, marşrutlaşdırma hostlarında ötürülən paketləri də atır və CIPSO/NetLabel etiketlərinə əsaslanan şəbəkələri pozur ^[10]. Ubuntu qeyd edir ki, ayrıca şəbəkəsi olan konteynerlərdə qayda ayrıca tətbiq olunmalıdır ^[8].
• Ehtiyacınız yoxdursa, MPTCP-ni söndürün. net.mptcp.enabled=0 parametri MPTCP-ni bütün sistem üzrə söndürür ^[10]. Akamai həmçinin net.ipv4.tcp_migrate_req=0 təyin etməyi təklif edir ^[11]. Akamai xəbərdarlıq edir ki, təkcə MPTCP-ni söndürmək istismarın qarşısını almır, yalnız yarış vəziyyətinin yaranma ehtimalını azaldır ^[11]. Go proqramları GODEBUG=multipathtcp=0 ilə də imtina edə bilər, lakin Go komandası proqram səviyyəsində imtinaları etibarsız adlandırır ^[5].
• Şəbəkə sərhədində filtrləyin. OpenShift üçün Red Hat qeyd edir ki, node üzərindəki qaydalar pod-dan pod-a trafiki filtrləmir, klasterin önündə şəbəkə sərhədində filtrləmə isə bu məhdudiyyətdən yan keçir ^[6].

init_on_free=1 kömək edirmi?

oss-security siyahısındakı bir yazıda əlavə müvəqqəti tədbir kimi init_on_free=1 yükləmə parametri təklif olunub. CIQ şirkətinin nüvə komandasının üzvü cavab verib ki, bu parametr həmin CVE-nin riskini nəzərəçarpacaq dərəcədə azaltmır və təhlükəsizlik bildirişlərində əhəmiyyət daşımamalıdır ^[12]. Onu bu xətaya qarşı tədbir kimi deyil, ümumi möhkəmləndirmə vasitəsi kimi qəbul edin.

CVE-2026-98432 istismar olunurmu?

3 noyabr 2026 tarixinə CVE-2026-98432 ABŞ hökumətinin real istismarı təsdiqlənmiş boşluqlar siyahısı olan CISA-nın Known Exploited Vulnerabilities kataloqunda yoxdur ^[14]. Akamai 2 noyabr 2026-da ictimai işlək eksploitdən xəbərdar olmadığını bildirib ^[11]. Bu, heç kimin xətanı istismar etmədiyinin sübutu deyil. Etibarlı eksploitin mövcudluğu nümayiş etdirilib ^[4], texniki təfərrüatlar isə nüvə düzəlişində açıq şəkildə görünür ^[3].

Təhlükənin təsviri də zamanla dəyişib. CVE ilk dəfə 15 oktyabr 2026-da dərc olunub ^[1]. Daha geniş diqqət Anthropic-in 27 oktyabr hesabatından sonra yaranıb ^[4][11]. Müvəqqəti tədbirləri ehtiva edən təchizatçı bülletenləri 29 oktyabr ilə 2 noyabr arasında dərc olunub ^[5][6][10]. İlkin qeydə ötəri baxmış administratorlar sonrakı tövsiyələri qaçırmış ola bilər.

Bundan sonra nə gözlənilir?

Red Hat araşdırmasının davam etdiyini və bülletenin yeni məlumatlar ortaya çıxdıqca yenilənəcəyini bildirir ^[6]. RHEL 9 real vaxt nüvəsi və OpenShift obrazları ^[7], eləcə də hələ hazırlanmaqda olan Ubuntu nüvələri ^[8] kimi qalan paketlərin yaxın günlərdə və ya həftələrdə düzəliş alacağını gözləyin. Xəbər icmallarına deyil, təchizatçı izləyicilərinə baxın, çünki bu səhifələr ilk həftələrdə bir neçə dəfə dəyişib.

Nüvə düzəlişi əlaqəli bir problemi də açıq qoyur. Nüvədəki təsvirdə deyilir ki, IPv6-nın tcp_v6_reqsk_destructor() funksiyasında yalnız CALIPSO tərəfindən təyin olunan seçimlərlə bağlı eyni miqrasiya problemi var və bu, ayrıca yamaqla həll ediləcək ^[2]. Anthropic-in koordinasiyalı açıqlama siyasətinə görə, şirkət yamaqlama üçün 90 gün, ictimai bildirişdən kənar təfərrüatları müzakirə etməzdən əvvəl isə daha 45 gün vaxt verir ^[4]. Buna görə də daha çox texniki təfərrüat sonradan ortaya çıxa bilər.

Bu, ümumi texniki məlumatdır və təchizatçınızın təhlükəsizlik bildirişini və ya təşkilatınızın insidentlərə cavab prosesini əvəz etmir.