Bitcoin Lightning düğüm güncellemesi yayımlandı; kernel yaması ayrı uygulanmalı

Lightning Labs, 30 Ekim’de Bitcoin (BTC) Lightning düğüm yazılımı LND için bir güvenlik güncellemesi yayımladı. Güncelleme, gösterilen uzaktan saldırı yolunu kapatıyor ancak LND’nin çalıştığı Linux kernelindeki açığı düzeltmiyor.

Güncelleme LND v0.20.7-beta ve v0.21.6-beta sürümlerini kapsıyor. Bu sürümler, Linux’ta varsayılan olarak açık olan MPTCP dinleyicisini devre dışı bırakıyor. Lightning Labs, resmî sürüm notlarında bu değişikliği saldırı yoluna karşı bir önlem olarak tanımlarken açığın çözümünün kernel yaması olduğunu belirtti.

CVE-2026-98432 kodlu güvenlik açığı, Linux kernelinin IPv4 TCP bağlantılarını işlerken serbest bırakılmış belleğe yeniden başvurmasına neden olan bir use-after-free hatası. Ubuntu’nun güvenlik takip sayfasında açığın CVSS 3.1 önem derecesi 9,8 olarak gösteriliyor.

Anthropic, 27 Ekim’de yayımladığı araştırmada MPTCP dinleyicisi açık bir Linux sunucusunda uzaktan komut çalıştırma saldırısını gösterdiğini açıkladı. Gösterim, kimlik doğrulama ya da kullanıcı etkileşimi olmadan gerçekleştirildi. Açıklanan saldırı yolunda MPTCP dinleyicisi kullanılsa da kernel açığı yalnızca MPTCP ile sınırlı değil. Gösterimin ayrıntıları Anthropic’in araştırmasında yer alıyor.

MPTCP (Multipath TCP), tek bir TCP bağlantısında birden fazla ağ yolunun birlikte kullanılmasını sağlayan bir uzantı. Dinleyici ise başka cihazlardan gelen bağlantı isteklerini bekleyen sunucu programının iletişim noktasıdır.

Go 1.24’ten itibaren Linux’taki Go programları, varsayılan ayarlarla MPTCP dinleyicileri açabiliyor. Bu nedenle LND 0.21.x, eş bağlantıları ile gRPC ve REST arayüzleri için MPTCP dinleyicisi açabiliyordu. Go projesindeki ilgili tartışma da bu varsayılan davranışı ele alıyor.

Lightning Labs, operatörlere LND’yi güncellemelerini, ana makinede MPTCP’yi devre dışı bırakmalarını ve dağıtımlarının sunduğu kernel güvenlik yamalarını yüklemelerini önerdi. LND güncellemesi uygulamanın dinleyici ayarlarını değiştiriyor; aynı sunucuda çalışan diğer programları veya kerneli etkilemiyor.

LND’yi hemen güncelleyemeyen operatörler mevcut ikili dosyayı GODEBUG=multipathtcp=0 ayarıyla çalıştırabilir. Bu önlem de yalnızca ilgili programın dinleyicileri için geçerli. Düğümünü konteynerde çalıştıranların ağ ad alanlarına (network namespace) göre MPTCP ayarlarını da kontrol etmesi gerekiyor.

Geçici önlemler konusunda Canonical ve Red Hat, kernel yamasının gerekli olduğunu vurguladı. Canonical, MPTCP devre dışı bırakılsa bile kernel açığının devam ettiğini bildirdi. Red Hat ise varsayılan ayarlarda MPTCP kapalı olan sistemlerin de savunmasız olabileceğini belirtti. IPv4 seçenek paketlerini filtrelemek maruziyeti azaltabilir ancak yamanın yerini tutmaz. Kurumların yönlendirmeleri Canonical’ın açıklamasında ve Red Hat’in güvenlik duyurusunda yer alıyor.

9 Kasım’da güncellenen Ubuntu takip sayfasında, genel linux paketi için Ubuntu 26.10’da düzeltilmiş sürüm 7.3.0-10.10 olarak gösterildi. Ubuntu 24.04 LTS için 6.8.0-149.149, 22.04 LTS içinse 5.15.0-203.213 sürümlerinde düzeltme çalışmaları devam ediyor.

Canonical, 2 Kasım’da Ubuntu 22.04 ve 24.04 için düzeltilmiş paketlerin doğrulama amacıyla kullanılan -proposed deposunda bulunduğunu açıkladı. Kararlılık testleri tamamlanan düzeltmelerin normal güncelleme deposunda dağıtılması planlanıyor. Düzeltme durumu kernel türüne ve pakete göre değişebildiğinden, yalnızca dağıtımın adına bakarak yamanın uygulanıp uygulanmadığı belirlenemiyor.

Hacker News’teki tartışmada MPTCP’nin açığın koşulu mu yoksa kamuya açık gösterimde kullanılan saldırı yolu mu olduğu ve IPv4 seçenek paketlerini filtrelemenin gerçek ağlarda işe yarayıp yaramadığı konuşuldu. 10 Kasım’da kontrol edildiğinde gönderide 751 puan ve 334 yorum görünüyordu. Bu, kullanıcı tartışmasını yansıtıyor; gerçek bir saldırının gerçekleştiğini doğrulamıyor. Görüşler Hacker News tartışmasında yer alıyor.

AWS, 6 Kasım’da güncellediği güvenlik duyurusunda, kendi gözlem alanında o tarihte açığın istismar edildiğine dair kanıt bulamadığını bildirdi. Bu açıklama yalnızca AWS’nin gözlem kapsamı için geçerli.

Kernel güvenlik güncellemesi yüklendikten sonra yeni kernelin devreye girmesi için sistemi yeniden başlatmak gerekiyor. Çalışan kernel sürümü uname -r komutuyla kontrol edilebilir.