Linux GhostLock Güvenlik Açığı!

Linux kernel tarafında GhostLock adıyla anılan ve CVE-2026-43499 olarak takip edilen ciddi bir yerel yetki yükseltme açığı duyuruldu. Açık, Linux kernel’in rtmutex / futex requeue mekanizmasındaki bir hata nedeniyle ortaya çıkıyor. Teknik olarak bakıldığında kernel’in belirli bir kilit temizleme sürecinde yanlış işlem bağlamı üzerinden hareket etmesi, eski/stale pointer ve use-after-free benzeri riskli bir duruma yol açıyor. Başarılı şekilde sömürüldüğünde, sistemde düşük yetkili olarak kod çalıştırabilen bir kullanıcı veya süreç root yetkisine kadar yükselebiliyor.

Bu açık; tek başına doğrudan root olmayı sağlamaz, saldırganın önce sistemde yerel olarak kod çalıştırabilmesi gerekir. Ancak bu durum riski küçültmez. Çünkü web uygulaması açığı, çalınmış düşük yetkili SSH hesabı, zararlı script, CI/CD runner, container workload, paylaşımlı hosting, geliştirici makinesi veya sandbox içinden çalıştırılan kod gibi senaryolarda bu açık ikinci aşama olarak kullanılabilir.

Riskli görülen sistemler:

• Güncel kernel yamalarını almamış Linux sunucular
• Paylaşımlı shell/hosting sunucuları
• Container veya Kubernetes node’ları
• CI/CD runner ve build sunucuları
• Birden fazla kullanıcının işlem çalıştırabildiği sistemler
• Geliştirici makineleri ve test ortamları
• EOL olduğu için artık resmi güncelleme almayan dağıtımlar

Ne yapılmalı?

Öncelikli öneri, kullanılan Linux dağıtımının resmi güvenlik güncellemelerini kontrol edip kernel paketini güncellemek ve ardından sistemi yeniden başlatmak olacaktır. Yalnızca kernel paketinin kurulmuş olması yeterli değildir. Sistem hâlâ eski kernel ile boot edilmişse açık devam eder. Bu yüzden güncelleme sonrası mutlaka çalışan kernel kontrol edilmelidir.

Debian/Ubuntu tabanlı sistemlerde:

RHEL / AlmaLinux / Rocky / Fedora / Amazon Linux benzeri RPM tabanlı sistemlerde:

CentOS 7 kullananlar için ayrıca:

CentOS 7 artık EOL durumunda olduğu için resmi güvenlik güncellemesi almıyor. Bu sistemleri uzun vadede desteklenen bir dağıtıma taşımak en doğru çözüm ve yaklaşım olacaktır elbette ancak kısa vadede mecburen CentOS 7 üzerinde kalınacaksa, kullanılan kernel paketinin gerçekten bu CVE için yamalı olup olmadığı ayrıca kontrol edilmelidir.

Aşağıdaki komutlar, CentOS 7 için paylaşılan yamalı kernel paketlerini kurmak isteyenler içindir. Üçüncü taraf kernel paketi kurulacağı için mümkünse önce test ortamında denenmeli, yedek alınmalı ve sistem sağlayıcınızın önerileri kontrol edilmelidir.

Yeniden başlatma sonrası çalışan kernel mutlaka kontrol edilmelidir:

Ek güvenlik notları:

• Üretim sistemlerinde public exploit veya PoC çalıştırmayın. Kernel seviyesindeki denemeler sistemi crash ettirebilir, veri bütünlüğünü bozabilir veya olası adli incelemeyi zorlaştırabilir.
• Container kullanıyor olmak tek başına koruma sağlamaz. Container’lar host kernel’i paylaştığı için kernel seviyesindeki yerel yetki yükseltme açıkları container escape riskine dönüşebilir.
• Güncelleme sonrası “paket kuruldu” kontrolü kadar “sistem gerçekten yeni kernel ile boot etti mi?” kontrolü de yapılmalıdır.
• CI/CD runner, build server, paylaşımlı hosting ve çok kullanıcılı makineler öncelikli olarak güncellenmelidir.
• EOL işletim sistemleri mümkün olan en kısa sürede desteklenen dağıtımlara taşınmalıdır.