İki adet 15 yıllık Linux çekirdeği açığı acil yama gerektiriyor

Linux çekirdeğinde 15 yıldan uzun süredir uykuda olan ve birlikte yüksek ciddiyet arz eden iki güvenlik açığı bu hafta kamuoyuna açıklandı ve büyük dağıtımlar ile bulut sağlayıcılarında acil yama çalışmalarını tetikledi. Her ikisi de yamalar kullanıma sunulmadan önce Google Alphabet Inc. ↗ 1.44% hata ödül programları aracılığıyla gösterildi.

GhostLock: Beş Saniyede Root

Nebula Security araştırmacıları, Linux 2.6.39'un Mayıs 2011'de piyasaya sürülmesinden bu yana her ana akım Linux dağıtımında yer alan, çekirdeğin gerçek zamanlı mutex alt sistemindeki bir use-after-free açığı olan GhostLock'u (CVE-2026-43499) ifşa etti. CVSS ölçeğinde 7,8 puan alan bu güvenlik açığı, yalnızca sıradan bir yerel kullanıcı erişimi gerektiriyor; özel izinler, ağ erişimi veya sıra dışı bir yapılandırma gerekmiyor.secure+3

Hata, orijinal varsayımlarının hesaba katmadığı bir bağlamda yeniden kullanılan `remove_waiter()` işlevinde bulunuyor ve ayrıcalık yükseltme için istismar edilebilecek çekirdek belleğine yönelik askıda bir işaretçi bırakıyor. Nebula, exploit'lerinin yüzde 97 oranında başarılı olduğunu ve ekibe Google'ın kernelCTF programı aracılığıyla 92.337 dolar kazandırdığını belirtiyor.privacyguides+1

Düzeltme, Nisan 2026'da Linux 7.1'de ana hatta ulaştı, ancak dağıtımların yayılımı düzensiz seyrediyor. Temmuz ayı başı itibarıyla Ubuntu, 24.04, 22.04 ve 20.04 LTS sürümlerini hala savunmasız veya işlem aşamasında olarak listeliyordu. Red Hat, RHEL 6'dan 10'a kadar olan sürümleri kapsayan bir güvenlik bülteni yayınladı ve 8 Temmuz'da RHEL 9 için yamalı bir çekirdek çıkardı. Savunmasız kod yolu rutin iş parçacığı (threading) işlemleri tarafından kullanıldığından tam bir geçici çözüm bulunmuyor.thehackernews+3

Januscape: Sanal Makineden Kaçış

Ayrı bir gelişme olarak, güvenlik araştırmacısı Hyunwoo Kim, KVM'nin gölge MMU emülasyonunda, kötü niyetli bir konuk sanal makinenin ana makineye kaçmasına ve root olarak kod çalıştırmasına olanak tanıyan bir use-after-free açığı olan Januscape'i (CVE-2026-53359) ifşa etti. Kim, bu açığı, tam bir VM'den ana makineye kaçış için 250.000 dolara kadar ödül sunan Google'ın kvmCTF programında bir sıfırıncı gün (zero-day) açığı olarak gösterdi.securityweek+2

Savunmasız kod, Ağustos 2010'daki Linux 2.6.36'ya kadar uzanıyor ve hem Intel hem de AMD mimarilerini etkiliyor; bu, bunu yapan ilk bilinen KVM kaçışıdır. Bir konuğun içinden ana makine çekirdeğinde paniğe neden olan bir kavram kanıtlama (proof-of-concept) yayınlandı, ancak tam kaçış exploit'i gizli tutuluyor. Açık, 19 Haziran'da ana hatta yamandı ve 4 Temmuz'a kadar kararlı dallara geri taşındı.cybernews+4

Bulut Sağlayıcıları Alarmda

Bulut operatörleri, Januscape'ten kaynaklanan daha akut bir tehditle karşı karşıya. Kim, tavsiyesinde, "Halka açık bir bulutta sadece tek bir örnek kiralamış bir saldırgan, aynı fiziksel makinedeki diğer tüm kiracı VM'leri çökertmek için ana makine çekirdeğini paniğe sürükleyebilir veya ana makineyi ve üzerindeki tüm konukları ele geçirmek için ana makinede root ayrıcalığıyla kod çalıştırabilir" diye yazdı. Hemen yama yapamayan kuruluşlara, iç içe sanallaştırmayı (nested virtualization) devre dışı bırakmaları veya RHEL 8 ve sonraki sürümlerde varsayılan olarak herkesin yazabileceği `/dev/kvm` üzerindeki izinleri kısıtlamaları tavsiye ediliyor.cloudlinux+3