CISA, Linux Kernel'daki Üç Kritik Zafiyeti Bilinen İstismar Listesine Ekledi
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Linux çekirdeğinde tespit edilen ve halihazırda siber saldırılarda aktif olarak kullanılan üç zafiyeti Bilinen İstismar Edilen Zafiyetler (KEV) kataloğuna ekledi. Kurum, federal ajansların ağlarını korumak amacıyla bu açıklara karşı gerekli yamaların 21 Eylül 2026 tarihine kadar uygulanmasını zorunlu kıldı.
Kataloğa dahil edilen CVE-2025-39682, CVE-2025-39964 ve CVE-2026-53266 kodlu zafiyetler, farklı seviyelerde sistem güvenliğini tehdit ediyor. CVSS puanı 9.8 ile en kritik seviyede olan CVE-2025-39682, TLS alım yolundaki hatalı kontroller nedeniyle hassas bellek içeriklerinin açığa çıkmasına veya hizmet dışı bırakma (DoS) saldırılarına kapı aralıyor.
CVE-2026-53266 ise ebtables SNAT ARP yeniden yazma yolundaki bellek bozulması sorunuyla öne çıkıyor. 8.8 CVSS puanına sahip bu açık, yerel bir saldırganın sistemin beklenmedik şekilde davranmasına, çökmesine veya ayrıcalıklarını yükseltmesine olanak tanıyabiliyor. Son olarak, 7.8 puanlı CVE-2025-39964 ise AF_ALG soketlerini etkileyen bir senkronizasyon hatası olarak tanımlanıyor ve kriptografik işlemlerin bütünlüğünü bozabiliyor.
Şu aşamada söz konusu zafiyetlerin saldırganlar tarafından nasıl kullanıldığına veya bir saldırı zincirinin parçası olup olmadıklarına dair detaylı bilgi bulunmuyor. CISA, federal kurumların yanı sıra özel sektör kuruluşlarının da altyapılarını bu risklere karşı gözden geçirmelerini ve gerekli güvenlik güncellemelerini vakit kaybetmeden yapmalarını tavsiye ediyor.
