3 Linux çekirdek açığı istismarda: CISA'dan 21 Eylül süresi

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA, 18 Eylül 2026'da üç Linux çekirdeği güvenlik açığını Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna ekledi ve federal sivil kurumlara düzeltme için 21 Eylül'ü, yani üç gün süre verdi. Eklemeler aynı gün iki ayrı uyarıyla yapıldı: biri iki açığı, diğeri üçüncüsünü kapsıyor.

CVE-2026-53266, çekirdeğin köprü netfilter kodundaki ebtables SNAT hedefinde bir sınır dışı yazma açığı; CISA'nın kaydına göre ARP gönderen donanım adresinin yeniden yazılması, splice ile içe aktarılmış bir dosya sayfasına dayanan doğrusal olmayan bir soket tamponu parçasına doğrudan yazabiliyor. CVE-2025-39964, aynı AF_ALG kripto soketine iki eşzamanlı yazma işleminin erişmesine izin veren bir yarış durumu; veri öngörülemez biçimde iç içe geçiyor ve soketin iç durumu tutarsız kalıyor. CVE-2025-39682 ise TLS alma yolunda: rx_list'ten alınan sıfır uzunluklu bir kayıt, recvmsg() çağrısının amaçlanan kayıt türü işlemesini atlatabiliyor.

Açıkların ne kadar ciddi olduğu, puanı kimin verdiğine bağlı. Çekirdeğin CVE numaralandırma otoritesi kernel.org, ebtables açığına 8,8; AF_ALG yarış durumuna 7,8; TLS açığına ise 9,8 yani "kritik" puanını verdi. NIST'in Ulusal Güvenlik Açığı Veritabanı (NVD), kendi analistlerinin puan yayımladığı yerlerde daha düşük kalıyor: AF_ALG için 5,5, TLS açığı için 7,1. Üstelik NVD, kernel.org'un ağ üzerinden erişilebilir saydığı TLS açığını yerel olarak istismar edilebilir kabul ediyor. Ebtables açığı için NVD henüz kendi puanını yayımlamadı.

CISA'nın 18 Eylül tarihli kendi değerlendirme kayıtları üçünü de "aktif" istismar altında ve teknik etkisi "tam" olarak listeliyor. Yalnızca TLS açığı otomatikleştirilebilir işaretli; yani istismarı ölçekli biçimde betiklenebiliyor. CISA üçünün de fidye yazılımı durumunu bilinmiyor olarak kaydediyor ve hiçbir saldırgan, kampanya ya da mağdur adı vermiyor.

Yamalar yeni değil. Üçünün de yukarı akış düzeltmesi git.kernel.org'da mevcut; kayıtlar NVD'de TLS açığı için 5 Eylül 2025'te, AF_ALG yarış durumu için 13 Ekim 2025'te ve ebtables açığı için 25 Haziran 2026'da yayımlanmıştı. Debian'ın uzun vadeli destek ekibi TLS açığı için Ekim 2025'te bir bülten çıkardı; Siemens ProductCERT'in de endüstriyel ürünler için üçünden ikisine değinen duyuruları var. 18 Eylül'de değişen şey, CISA'nın bu açıkların saldırılarda kullanıldığını belirtmesi. Üç kayıttan ikisi ayrıca CISA'nın "etkilenen ürünler kullanım ömrünü ya da destek süresini doldurmuş olabilir" notunu taşıyor.

Tek günde üç çekirdek kaydı alışılmış değil. Katalogda şu anda 1.716 açık var; bunların 31'i Linux çekirdeğiyle ilgili. CISA'nın kendi veri beslemesine göre 18 Eylül 2026, aynı anda üç çekirdek açığının eklendiği yalnızca ikinci tarih; ilki 15 Eylül 2022'ydi. Linux sunucu ve bulut altyapısının büyük bölümünü taşıdığı için etkilenen makine sayısı, son tarihle fiilen bağlı kurum sayısından çok daha geniş.

Son tarih, yalnızca federal sivil yürütme kurumlarını bağlayan 26-04 sayılı Bağlayıcı Operasyonel Direktif'ten geliyor; CISA diğer tüm kuruluşları da katalog kayıtlarını aynı ölçütle önceliklendirmeye çağırıyor. İstenen eylem yama yapmakla bitmiyor: kurumlar CISA'nın adli triyaj rehberini uygulamak ve yama öncesinde ele geçirilip geçirilmediklerini tespit etmek zorunda. CISA bu üç açık için herhangi bir ihlal göstergesi yayımlamadı.