Giriş

Geliştiriciler tarafından keşfedilen  GhostLock  (CVE-2026-43499), 15 yıllık bir Linux çekirdek açığıdır. Bu açık, güncellenmemiş sistemlerde herhangi bir kullanıcıya tam root kontrolü sağlayabilmektedir ve bu durum siber güvenlik açısından büyük bir tehdit oluşturmaktadır.

Saldırı Nasıl Çalışıyor?

Linux çekirdeğinde, acil bir görevin basit birinin arkasında kalmamasını sağlayan bir sistem bulunmaktadır. Bu sistemin bir parçası, bir görevin beklemeyi bıraktıktan sonra sonlandırılması sırasında temizlik adımlarını içermektedir. Ancak,  bir kilit işlemi çıkmaza girdiğinde  ve geri dönmek zorunda kaldığında, temizlik yanlış bir anda çalışır ve yanlış görevin kaydını siler.

Bu hata, çekirdeğin daha önce atılmış ve yeniden kullanılmış bir bellek parçasına işaret eden “not” tutmasına neden olur. Bu tür hatalar use-after-free olarak bilinir. Nebula’nın ekibi, bu küçük hatayı, çekirdeği kendi kodlarını root kullanıcı olarak çalıştıracak şekilde kandırmak için bir dizi hileli adım ile birleştirerek tam kontrol sağlamayı başarmıştır. Test makinelerinde, bu işlem yaklaşık beş saniye sürmektedir.

Etkilenen Sistemler

 GhostLock , 2011 yılından itibaren Linux’ta bulunmakta ve birçok dağıtımda varsayılan olarak yer almıştır. Açık, 2023 yılında  7.8/10  (yüksek, kritik değil) bir kritiklik puanına sahip olarak derecelendirilmiştir. Çünkü kötü niyetli bir saldırganın sisteme girebilmesi için öncelikle makineye giriş yapmış olması gerekmektedir.

Son güncellemeler ile bu açık, 3bfdc63936dd kodlu düzeltme ile kapatıldı, fakat bu düzeltme bazı sistemlerde ek sorunlar yaratmıştır (CVE-2026-53166). İlgili Linux dağıtımlarının çoğunda bu sorun hâlâ devam etmektedir.

Çözüm ve Korunma

Güncel bir kernel sürümü yüklemek en etkili çözüm olarak karşımıza çıkmaktadır. Mevcut dağıtımınızın en güncel kernelini yükleyin, yalnızca ilk yamalı yapı ile kalmayın. Dağıtımınızın tavsiyelerini kontrol ederek düzeltme paketinin sürümünü doğrulamanız önemlidir.

Aşağıdaki yapılandırmalar, bu açığı zorlaştırsa da tam bir çözüm sağlamamaktadır:

• RANDOMIZE_KSTACK_OFFSET
• STATIC_USERMODE_HELPER

Özellikle paylaşımlı ve çok kullanıcılı makineleri, bulut sunucularını, konteynerleri ve CI koşucularını ilk önce yamalamak gerekmektedir, çünkü saldırganların bu tür sistemlerde yerel taban bulma ihtimali daha yüksektir.

Sonuç

 GhostLock  açığından korunmak için hemen harekete geçin. Güncel bir kernel yüklemesi yapın, sistemlerinizi ve dağıtımınızı kontrol edin. Portları kapatmak gibi ek önlemler alın ve yazılım güncellemelerini sürekli takip edin. Bu tür güvenlik açıklarının tespiti ve kapatılması, sistemlerinizin güvenliğini sağlamak açısından kritik bir öneme sahiptir.

Giriş

Linux’un KVM (Kernel Virtual Machine) sanal makine hipervizöründeki bir use-after-free hatası, misafir sanal makineden tetiklenerek ana işletim sistemi çekirdek durumunu bozabiliyor. Bu güvenlik açığı, hem Intel hem de AMD sistemlerini etkileyerek potansiyel olarak büyük güvenlik tehditleri oluşturuyor.

Saldırı Nasıl Çalışıyor?

KVM, bir sanal makine çalıştırmak için kendi özel sayfa tablolarını tutar. Bu sayfa tabloları, misafirin bellek düzenini yansıtırken, KVM bu tabloları adreslerine göre eşleştirir. Ancak, KVM bu eşleştirmeyi yalnızca bellek adresine dayanarak yapar ve sayfa tipini göz ardı eder. Bu durumda, KVM yanlış türde bir sayfa kullanarak iç kayıtlarını bozar.

• Kernel genellikle durumu fark edip çökmesine neden olur; bu, misafir sanal makinenin ana makineyi panikletmesine olanak tanır.
• Daha kötü bir senaryoda, temizlenmemiş sayfa başka bir kullanım için tahsis edilir ve bu, saldırganın kod yazmasına olanak tanıyabilir.

Bu açığın her iki mimaride (Intel ve AMD) benzer şekilde çalıştığını belirtmek önemlidir; ancak son aşamada kontrol sağlamanın yöntemi her birinde farklılık gösterir.

Etkilenen Sistemler

Bu güvenlik açığı, CVE-2026-53359 kodu ile takip edilmektedir ve 2010 yılında, commit 2032a93d66fa ile çekirdek koduna eklenmiştir. Hata, commit 81ccda30b4e8 ile 19 Haziran 2026 tarihinde düzeltildi.

• Saldırı, misafir sanal makinede kök erişimi gerektirir.
• Nestel (iç içe) sanallaştırmanın ana makine tarafından açık hale getirilmesi gerekir.
• Untrusted misafirleri barındıran herhangi bir x86 ortamı, bu güvenlik açığı için risk taşır.

Ayrıca, /dev/kvm dosyasının dünya yazılabilir olması durumunda, bu açık yerel ayrıcalık yükseltmesine de neden olabilir; fakat misafirden ana makineye geçiş yüksek etkili bir kullanım olarak kabul edilmektedir.

Çözüm ve Korunma

Açığın çözümü oldukça basit bir kod değişikliği ile sağlanmıştır. kvm_mmu_get_child_sp() fonksiyonuna yapılan bir satırlık ekleme ile, sayfa yalnızca hem çerçeve numarası hem de rolün eşleştiği durumlarda yeniden kullanılabilir hale gelmiştir.

Düzeltilmiş sürümler 4 Temmuz 2026’da piyasaya sürülmüştür:

• 7.1.3
• 6.18.38
• 6.12.95
• 6.6.144
• 6.1.177
• 5.15.211
• 5.10.260

Eğer x86 KVM ana makineniz varsa ve çoklu kiracılarla nested sanallaştırmayı kabul ediyorsa, commit 81ccda30b4e8 numaralı düzeltmenin dahil olduğunu onaylayın. Hızla güncellemeler yapın; aksi halde, nested sanallaştırmayı devre dışı bırakmak (kvm_intel.nested=0 veya kvm_amd.nested=0) saldırı yolunu kapatacaktır.

Ayrıca, ARM64 ev sahipleri Januscape etkisinden etkilenmemektedir; ITScape (CVE-2026-46316) adı verilen başka bir KVM/arm64 meselesi bulunmaktadır.

Aksiyon

Eğer sisteminizde bu güvenlik açığına dair bir risk varsa, derhal güncelleme yapmalı ve mümkünse, nested sanallaştırmayı devre dışı bırakmalısınız. Risk altındaki x86 KVM ana makinelerini yüksek öncelikli yamanız gereken hedefler olarak değerlendirin. Bu tür sistemlerde, misafir sanal makineler evident olarak güvensizse, durumlarınızı hızla gözden geçirin.

Son günlerde, siber suçlarla mücadelede önemli bir gelişme yaşandı. Finlandiya’da yakalanan ve ABD’ye iade edilen bir gencin, siber saldırılarla bağlantısı nedeniyle yüzlerce milyon dolarlık zarara yol açan teknik bir yapı ile ilişkili olduğu ortaya çıktı.

Saldırı Nasıl Çalışıyor?

Saldırılar, çoğunlukla gençlerden oluşan ve “Scattered Spider” olarak bilinen bir grup tarafından gerçekleştirilmektedir. Bu grup, yazılımları kırmak yerine insanları kandırarak sosyal mühendislik yöntemleri kullanmaktadır.

• Bir üye, şirketin IT yardım masasına telefon açarak, çalışan olarak kendini tanıtmakta ve şifre sıfırlama veya giriş onaylama gibi işlemleri yaptırmaktadır.
• İçeri girdikten sonra, dosyaları çalıp fidye isteyerek çeşitli tehditlerle hedeflerini zorlamaktadır.

Grup, 2023 yılında MGM Resorts ve Caesars Entertainment’a yaptıkları saldırılarla dikkat çekmiştir. Ayrıca, Marks & Spencer ve Harrods gibi İngiltere merkezli perakendecilere de saldırılar gerçekleştirmiştir.

Etkilenen Sistemler

Scattered Spider’ın hedef aldığı alanlar arasında çeşitli sektörler bulunmaktadır:

• Kumarhaneler
• Perakendeciler
• Havayolu şirketleri

Grup, şu ana kadar 100’den fazla ağ ihlali gerçekleştirdiği ve $100 milyonun üzerinde fidye talep edildiği belirtilmektedir.

Çözüm ve Korunma

Bu tür saldırılara karşı şirketlerin alabilecekleri önlemler şunlardır:

• Şifre sıfırlama işlemlerinden önce daha sıkı kimlik doğrulama süreçleri uygulamak.
• Phishing saldırılarına karşı dayanıklı giriş anahtarları kullanmak.
• Şirket içi iletişim araçlarına yönelik izleme ve analiz yapmak.

ABD ve uluslararası güvenlik kurumları, CISA aracılığıyla bu konuda yönlendirmelerde bulunmaktadır.

Aksiyon

Şirketlerin, saldırılara karşı savunmalarını güçlendirme adına derhal güvenlik önlemlerini gözden geçirmesi ve gerekli güncellemeleri yapması büyük önem arzetmektedir. Ayrıca, bir saldırı durumunda acil eylem planları oluşturulmalıdır. Port kapatmayı ve kimlik doğrulama süreçlerini güçlendirmeyi unutmayın.

Squid web proxy’sinde tespit edilen bir heap over-read açığı, başka bir kullanıcının açık metin HTTP isteklerinin, bu isteklere dahil olan kimlik bilgileri veya oturum token’larıyla birlikte sızdırılmasına yol açmaktadır. Bu durum, aynı proxy üzerinden trafik gönderme iznine sahip olan kullanıcılar için ciddi bir güvenlik riski oluşturur.

Saldırı Nasıl Çalışıyor?

Açık, Squid’in FTP dizin listeleme analizcisi içindeki bir hatadan kaynaklanmaktadır. Eskiden var olan NetWare sunucularının listelemeleriyle ilgili olarak yazılan kod, boşlukları atlamak için bir döngü kullanıyor:
c
while (strchr(w_space, *copyFrom)) ++copyFrom;

Saldırganın FTP sunucusu, zaman damgasından hemen sonra biten ve dosya adı içermeyen bir listeleme satırı gönderdiğinde, copyFrom dizenin null terminatörüne ulaşır. strchr bu terminatörü, aradığı dizenin bir parçası olarak kabul edip, bir işaretçi döndürdüğü için döngü durmaz ve buffer’ın sonuna kadar yürür. xstrdup bu aşamada daha önceki bir kullanıcının HTTP isteğini sızdırarak saldırgana geri yollar.

Etkilenen Sistemler

Açık,  CVE-2026-47729  numarasıyla tanımlanmış ve “Squidbleed” adı verilmiştir. Etkilenmiş Squid sürümleri:

• Varsayılan yapılandırmada aktif hale gelen eski FTP işleme kodu
• Proxy’den geçiş izni olan kullanıcılar mevcut olduğu için, genellikle eğitim kurumları, ofisler ve kamusal Wi-Fi ağlarında bulunur.
• Açık, sadece Squid’in okuyabileceği trafiği etkiler (örneğin, normal HTTPS trafiği etkilenmez).

Çözüm ve Korunma

Eğer sistemi güncelliyorsanız, sadece sürümü değil, düzeltmenin gerçekten uygulandığını da kontrol edin.

•  FtpGateway.cc  içinde koruma kontrolünü doğrulayın.
• Dağıtım paketinizin yamanıp yamanmadığını kontrol edin (örneğin, Debian’da Squid 5.7 mevcuttur).
• FTP’yi devre dışı bırakmayı düşünün; çünkü çoğu ağda FTP kullanılmamaktadır.

Saldırgan, FTP sunucusuna erişebilmek için proxy üzerinden 21 numaralı portu kullanmak zorundadır ve bu port varsayılan olarak açıktır.

Sonuç

Güvenlik açığının etkili bir şekilde kapatılıp kapatılmadığını kontrol etmek ve FTP protokolünü devre dışı bırakmak, güvenliğinizi artırmak için önemli adımlardır. Acil olarak sistemlerinizi güncelleyerek, sadece CVE-2026-47729 için değil, aynı zamanda diğer potansiyel zafiyetler için de sürekli izleme ve güncellemeyi sürdürmelisiniz.