Bad Epoll açığı Linux ve Android'de root erişimi sağlıyor
CVE-2026-46242 kodlu Bad Epoll açığı, Linux çekirdeğinin epoll alt sisteminde yetkisiz kullanıcıların root erişimi kazanmasına izin veriyor; yama zaten mevcut.
Bad Epoll adı verilen ve CVE-2026-46242 olarak izlenen yeni bir Linux çekirdeği açığı, herhangi bir özel yetkiye sahip olmayan yerel bir saldırganın Linux sistemlerinde ve Android cihazlarında root yetkisi kazanmasına olanak tanıyor. Açık, ağ bağlantılarını ve dosya olaylarını yönetmek için sunucular ve tarayıcılar tarafından yoğun biçimde kullanılan epoll alt sisteminde bulunan klasik bir use-after-free hatasından kaynaklanıyor; iki çekirdek iş parçacığının aynı nesneyi neredeyse eş zamanlı serbest bırakması bellek bozulmasına ve ayrıcalık yükseltmesine yol açıyor.
Araştırmacı Jaeyoung Chung, yalnızca birkaç CPU komutu genişliğindeki bir zamanlama penceresini hedef alan ancak yine de test edilen sistemlerde yaklaşık yüzde 99 başarı oranına ulaşan güvenilir bir kavram kanıtı geliştirdi. Açığın Chrome'un renderer sandbox'ından bile tetiklenebilmesi, riski özellikle tarayıcı tabanlı saldırı senaryoları açısından artırıyor. Şimdilik gerçek dünyada istismar edildiğine dair kanıt bulunmuyor ve Android'e özgü bir istismar hâlâ geliştirilme aşamasında.
Olayın öne çıkan yönlerinden biri, Bad Epoll'un Anthropic'in Mythos modelinin daha önce aynı kod bölgesinde tespit ettiği başka bir açıkla (CVE-2026-43074) aynı 2023 tarihli commit'ten kaynaklanması. Yapay zeka ilk hatayı bulmuş ama bu ikinci, çok daha ince zamanlama penceresine sahip yarış durumunu gözden kaçırmış; ilk hata yamalandıktan sonra Bad Epoll, KASAN gibi bellek hata tespit araçlarında da belirgin uyarılar üretmemeye başlamış.
Bad Epoll, Copy Fail, Dirty Frag, Fragnesia ve DirtyClone gibi son dönemde açıklanan diğer Linux ayrıcalık yükseltme açıklarına ekleniyor; ancak bu diğerlerinin aksine daha eski ve tespiti çok daha zor olan yarış durumu (race condition) sınıfına giriyor. Vaka, yapay zeka destekli güvenlik araştırmasının hem potansiyelini hem de sınırlarını gösteriyor: son teknoloji modeller karmaşık çekirdek hatalarını bulabilse de, çok dar zamanlama pencerelerine dayanan ince yarış durumları hâlâ insan uzmanlığı gerektiriyor.