"Kara Ekim": Linux çekirdeği açıkları yanlış listeye düştü, asıl darboğaz artık yama

Ne oldu?

21–22 Ekim gecesi Linux çekirdeğinin herkese açık posta listesine (LKML) bir dizi güvenlik raporu düştü. Gönderen, Trend Micro’nun açık satın alıp üreticilere bildiren ekibi Zero Day Initiative (ZDI). Raporların henüz yaması yoktu. Normalde bu tür raporlar önce gizli kanaldan gider, düzeltme hazır olunca duyurulur. Phoronix’e göre gönderim büyük ihtimalle bir hataydı. The Hacker News ise ZDI’ın çekirdeğin yeni kuralını yanlış uygulamış olabileceğini yazıyor.

Altı raporun en ciddi ikisi, çekirdeğin içindeki SMB sunucusu ksmbd’de. SMB, Windows dünyasının dosya paylaşım protokolü; ksmbd onu Samba yerine doğrudan çekirdekte çalıştırıyor. ZDI ikisine de CVSS 9.0 verdi:

• ZDI-CAN-33774: Paketlerin işlenmesinde bir yarış durumu (race condition). The Hacker News’in analizine göre 445 numaralı portu açık her ksmbd kurulumunda giriş yapmadan tetiklenebiliyor.
• ZDI-CAN-33549: SMB Direct yolunda bir tamsayı taşması (integer underflow). Daha zor: RDMA destekli bir ağ arabirimi ve yazılabilir bir paylaşım gerekiyor.

Diğer raporlar ağ kodunda, VMware grafik sürücüsünde ve NVMe hedef kodunda yerel yetki yükseltme ve bilgi sızıntısı hataları. Haberin çıktığı saatlerde ana çekirdekte hiçbiri düzeltilmemişti. The Hacker News’e göre raporlarda bulan olarak Trend Micro’nun yapay zekâ tarayıcısı TrendAI geçiyor. Bunlar henüz CVE numarası da almadı; çekirdek CVE’yi ancak kararlı sürüme düzeltme girince atıyor.

Çekirdek neden bu hâlde?

Mayıs 2026’da çekirdeğin güvenlik belgesi değişti. Torvalds’a göre gizli güvenlik listesi yapay zekâ raporlarıyla dolmuş, aynı hatayı aynı araçla bulan insanlar birbirinin kopyasını gönderiyordu. Yeni kural şöyle: Bir hatayı yapay zekâ yardımıyla bulduysan onu zaten herkese açık say. Raporu gizli genel listeye değil, doğrudan ilgili alt sistemin bakımcılarına gönder, güvenlik ekibini bilgiye ekle. Bir düzeltme öner ve test et. Yine de belge, yamasız raporu bu aşamada herkese açık listeye atmayı açıkça yasaklıyor.

ZDI’ın yaptığı tam da buydu: yama yok, rapor açık listede. Greg Kroah-Hartman raporlara dakikalar içinde cevap verdi. Mesajı özetle şu: Yaması olmayan bir raporu açık listeye atarsan bizim yapabileceğimiz pek bir şey kalmıyor, gönderim sürecini düzeltin. Bakımcıların bu seli beklediği belliydi; Maintainers Summit’te 18 ay sürecek bir rapor ve yama dalgasından söz edilmişti.

Saldırı dalgası değil, duyuru dalgası

Aynı hafta PHP’de PHP2Shell, eMudhra’nın zayıf sertifika anahtarları, LiteLLM’in PyPI saldırısı ve GitLab’ın kritik açığı peş peşe geldi. Bazı güvenlik araştırmacıları ve haberler buna “Kara Ekim” (Black October) dedi. Terimi kimin ortaya attığı belli değil. Forkast’ın analizi önemli bir noktaya dikkat çekiyor: Bu hataların çoğu aylardır, hatta yıllardır oradaydı. Değişen, hepsinin aynı anda görünür olması.

Yapay zekâ hata bulmayı çok ucuzlattı. Anthropic’in Claude Mythos ile binlerce açık bulduğunu söylemesi bunun ilk büyük işaretiydi. Ama bir hatayı düzeltmek, test etmek ve dağıtmak hâlâ insan emeği istiyor. Darboğaz artık bulmak değil, yamalamak. Bakımcıların sayısı aynı kalırken rapor sayısı katlanıyor.

Ne yapmalısın?

• ksmbd: Kullanıyor musun, bak: lsmod | grep ksmbd. İhtiyacın yoksa modülü kapat. The Hacker News’a göre Red Hat Enterprise Linux ksmbd’yi hiç içermiyor. Kullanıyorsan 445 numaralı portu internete açma ve dağıtımının çekirdek güncellemelerini takip et.
• GitLab: 21 Ekim’de CVE-2026-110264 (CVSS 10.0) kapatıldı. Düzenli ifade (regex) derleyicisindeki bir tamsayı taşması, giriş yapmamış birinin kendi sunucundaki GitLab’da kod çalıştırmasına izin veriyor. 7.0’dan beri tüm CE/EE sürümleri etkileniyor. Düzeltme 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 ve 18.11.13’te. Bu, 12 Ekim’deki CVE-2026-97229’dan sonra dokuz gün içinde ikinci 10.0. GitLab.com zaten yamalı. Kendi sunucunda GitLab çalıştırmanın bedeli tam olarak bu takip.
• Signal: CVE-2026-113380 (CVSS 9.3), Signal’in arama kütüphanesi RingRTC’de. Görüşmedeki biri, senin kapatma isteğinin aramayı tam sonlandırmasını engelleyebiliyordu; yani ses, sen kapattıktan sonra da gidebiliyordu. Düzeltme Eylül’de RingRTC 2.72.0’a girdi, değişiklik notunda tek satırla geçti. Bilinen bir istismar yok. Signal’i tüm cihazlarında güncelle.

Düşün

• Bir açık duyurulduktan sonra senin sistemlerine yama kaç günde ulaşıyor? Bunu hiç ölçtün mü?
• Kullanmadığın hâlde açık duran servisler var mı? ksmbd gibi bir modülün yüklü olduğunu bilir miydin?

Kendi cümlelerimizle yazılmış bir özettir, çeviri değildir. Tüm kaynaklar yukarıda.