ZDI, yamalanmamış Linux kernel CVE raporlarını yanlışlıkla LKML’de yayınladı
21 Ekim 2026’da zero-day-initiative (ZDI), yamalanmamış güvenlik raporlarını gizli koordinasyon listesi yerine kamuya açık Linux Kernel Mailing List (LKML) üzerinden yanlışlıkla Cc’ledi. Phoronix ve pwn.watch’un özetlediği olayda özellikle ksmbd alt sisteminde iki adet CVSS 9.0 uzaktan kod çalıştırma (RCE) riski taşıyan rapor (ZDI-CAN-33774, ZDI-CAN-33549) öne çıkıyor. linux-kernel maintainer Greg Kroah-Hartman sürecin hatasını kamuoyuna işaret etti.
Henüz resmi CVE numarası atanmadı; bu haber exploit veya PoC tarifi içermez.
Ana Gelişme
ZDI-CAN-33774, ksmbd’de race koşuluna dayalı RCE olarak sınıflandırılıyor. Düzeltme commit’i 68f410faedaf maintainer ağacında görülüyor; 22 Ekim itibarıyla mainline’a girmemiş olabilir. Yalnızca kernel içi ksmbd çalıştıran sunucular risk altında; yalnızca Samba kullanan sistemler bu ksmbd vektöründen etkilenmez.
Ek raporlar arasında skb_zerocopy ile ilişkili yerel yetki yükseltme (LPE) bağlamı da geçiyor; savunma önceliği ksmbd RCE ve exposure denetimi olmalı.
Neden Önemli?
Koordineli responsible-disclosure penceresi kapanmadan detayların LKML’de görünmesi, saldırganların yama öncesi fırsat penceresini genişletir. Türkiye’deki DevOps ve SRE ekipleri NAS benzeri Linux dağıtımlarında ksmbd servisinin açık olup olmadığını kontrol etmeli.
Teknik Detaylar
smb-protocol ailesinde ksmbd, kernel içi SMB sunucusu; exposure genelde 445/tcp. Mitigation: ksmbd’yi devre dışı bırakma veya kullanılmıyorsa modülü kaldırma, patch takibi, ağ segmentasyonu.
Bağlam
application-security ve zero-day-vulnerabilities gündeminde süreç hatası kadar teknik severity de önemli; ZDI olayı eğitim amaçlı case study olarak okunabilir.
Sonraki Adımlar
Kernel topluluğu düzeltmeleri mainline ve stable branch’lere taşıyacak. Kurumlar distro güvenlik bültenlerini izlemeli; sensationalist «sıfır gün» başlıkları yerine patch SLA odaklı yanıt verilmeli.