AlmaLinux, CVE-2026-98276 için Yamalı Kernel’ı Testing Repo’suna Aldı

AlmaLinux, Linux kernel’ındaki CVE-2026-98276 açığı için yamalı kernel paketlerini testing repo’suna koydu. Açık, socket kodundaki bir race condition yüzünden bir UDP socket’inde use-after-free’ye yol açıyor ve AlmaLinux 8, 9 ve 10’u etkiliyor. AlmaLinux ekibi, paketleri production repo’larına almadan önce topluluğun test etmesini istiyor.

AlmaLinux nedir, ne için kullanılır?

AlmaLinux, RHEL ile ikili uyumlu, topluluk yönetimindeki açık kaynak bir Linux dağıtımıdır. CentOS Linux’un bıraktığı boşluğu doldurmak için ortaya çıktı. Sunucu, sanal makine ve bulut iş yüklerinde RHEL yerine kullanılıyor. Geliştirmesini AlmaLinux OS Foundation yürütüyor. Benzer konumdaki dağıtımlar arasında Rocky Linux ve Oracle Linux var.

CVE-2026-98276 açığı, sunucuda kod çalıştırabilen sıradan bir kullanıcının kernel belleğini bozmasına yol açıyor. SIOCGSTAMP ioctl’ı socket flag’lerini lock almadan değiştiriyordu. Bind() ile yarışınca UDP socket’inin grace period işareti siliniyor ve socket, receive path hâlâ ona işaret ederken serbest kalıyor. Hata 2.6.12’den beri kernel’da duruyor.

CVE-2026-98276 açığının ağırlığı

Linux kernel CVE ekibi CVSS 7.8 (High) veriyor. Red Hat, race’i güvenilir biçimde kazanmanın zor olduğu gerekçesiyle 7.0 ve Moderate diyor. Exploit için yerel bir hesap yetiyor, ek ayrıcalık ve kullanıcı etkileşimi gerekmiyor. Ağ trafiğiyle tetiklenmiyor. AlmaLinux, yazı yayımlandığında public exploit bilmiyordu.

Container’lar host kernel’ını paylaşır. Bu yüzden kullanıcı kodu çalıştıran Kubernetes node’ları, CI runner’ları ve paylaşımlı build makineleri ilk sırada. Yalnızca sizin ekibinizin erişebildiği bir web sunucusu production paketlerini bekleyebilir.

Testing repo’dan production’a

CVE-2026-98276 açığı için pratik bir workaround yok, çünkü ioctl ve UDP socket’ini her process kullanabiliyor. RHEL de henüz yamalı kernel yayımlamadı.

1. Önce bir staging veya CI makinesinde testing kernel’ını kurun:

sudo dnf install -y almalinux-release-testing
sudo dnf update 'kernel*' --enablerepo=almalinux-testing
sudo reboot

1. uname -r ile sürümü doğrulayın: AlmaLinux 8 için 4.18.0-553.184.2.el8_10, 9 için 5.14.0-687.66.2.el9_8, 10 için 6.12.0-211.74.2.el10_2 veya üstü gerekiyor.
2. Reboot sonrasında sudo dnf config-manager --disable almalinux-testing ile repo’yu kapatın.
3. AlmaLinux 8’de yama elle uyarlandı ve qrtr, ax25, netrom handler’ları değişti. Bu protokolleri kullanıyorsanız testlerinizi orada yoğunlaştırın.
4. Paylaşımlı node’larda kod çalıştırabilen hesapları daraltın. Paketler production repo’suna geldiğinde node’ları drain edip sırayla yeniden başlatın.

CVE kaydı: CVE-2026-98276