WordPress çekirdeğinde güncelleme anı açığı: CISA sömürüyü doğruladı

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), WordPress çekirdeğindeki CVE-2026-119977 kodlu güvenlik açığının saldırganlar tarafından aktif olarak sömürüldüğünü 3 Kasım 2026'da doğruladı ve zafiyeti Bilinen Sömürülen Zafiyetler (KEV) kataloğuna ekledi. CVSS puanı 8.1 olan açık, WordPress'in kendi çekirdek güncellemesini yaptığı kısa zaman penceresinde sunucuda uzaktan kod çalıştırılmasına imkân veriyor.

Açık tam olarak nerede?

Zafiyet, "kontrol anı – kullanım anı" (TOCTOU) olarak bilinen bir yarış koşulundan kaynaklanıyor. WordPress, tam paket çekirdek güncellemesi sırasında dosyaları wp-content/upgrade altındaki, web üzerinden erişilebilen ve adı tahmin edilebilir geçici dizinlere açıyor. Saldırgan bu dar pencerede doğru yolu isabet ettirirse, henüz yerine taşınmamış kurulum dosyalarını kullanarak sunucuda komut çalıştırabiliyor.

Açığı Picus Security araştırmacısı Umut Bayram bildirdi. WordPress güvenlik ekibi düzeltmeyi 28 Ekim 2026'da 7.1.4 sürümüyle yayımladı ve sitelerin "derhal" güncellenmesini önerdi. Düzeltme eski sürüm dallarına da geriye dönük olarak taşındı; dolayısıyla 7.x kullanmayan siteler için de kendi dalında bir yama mevcut.

Neden önemli?

Saldırı penceresi dar olsa da sömürü hacmi düşük değil. Wordfence, 24 saat içinde bu zafiyeti hedefleyen 13.095 saldırıyı engellediğini bildirdi. CISA ise BOD 26-04 direktifi kapsamında ABD federal kurumlarına 6 Kasım 2026 tarihine kadar süre verdi ve özel sektör dahil tüm ağ yöneticilerine yamayı önceliklendirme çağrısı yaptı.

Burada alışılmışın dışında bir mantık var: riskli an, güncellemeyi ertelediğiniz süre değil, güncellemenin kendisi. "Otomatik güncelleme açık, bizde sorun yoktur" varsayımı bu açıkta tek başına yeterli değil, çünkü yamalı sürüme ulaşılana kadar yapılan her tam çekirdek güncellemesi bir risk penceresi oluşturuyor.

Türkiye ve KOBİ tarafındaki karşılığı

Türkiye'de KOBİ'lerin kurumsal sitesi, bayi paneli, kariyer sayfası ve blogu büyük ölçüde WordPress üzerinde çalışıyor. Bu sitelerin önemli bir kısmı yıllar önce bir ajansa yaptırıldı, teslim edildi ve sonrasında kimsenin düzenli sorumluluğunda kalmadı. Üstelik aynı hosting hesabında çoğu zaman kurumsal mail, form kayıtları ve zaman zaman müşteri verisi de bulunuyor.

KVKK açısından bakıldığında, site "sadece tanıtım amaçlı" olsa bile üzerindeki iletişim formu, teklif formu veya CV yükleme alanı kişisel veri işliyor. Sunucuda kod çalıştırma yetkisi elde eden bir saldırgan bu kayıtlara erişebileceği için olay, 6698 sayılı Kanun'un 12. maddesi kapsamında bir veri güvenliği ihlali sayılabilir ve Kurul'a bildirim yükümlülüğü doğurabilir. Web sitesinin "pazarlamanın işi" olarak görülmesi, bu sorumluluğu ortadan kaldırmıyor.

Kamer Bilişim olarak ne öneriyoruz?

• Sürümü bugün doğrulayın, varsayımla yetinmeyin. Yönetim panelinde Araçlar > Site Sağlığı ekranından çekirdek sürümünü kontrol edin. 7.1 dalındaysanız 7.1.4 ve üzeri olmalı; eski bir dalda kaldıysanız o dalın yamalı sürümüne geçin. Composer veya kurulum hattı üzerinden yönetilen sitelerin kendi takvimiyle çalıştığını, otomatik güncellemenin devre dışı bırakılmış olabileceğini unutmayın.
• Yamayı uygulayana kadar upgrade dizinini web erişimine kapatın. Sunucu yapılandırmasında /wp-content/upgrade/ ile başlayan isteklere erişimi engelleyin ve bir tarayıcıdan 403 döndüğünü teyit edin. Önünüzde bir WAF veya CDN varsa aynı kuralı orada da tanımlayın.
• Güncelleme sonrası sömürü izlerini arayın. Web sunucusu kayıtlarında wp-content/upgrade dizinine yapılan istekleri, beklenmeyen yeni PHP dosyalarını ve tanımadığınız yönetici hesaplarını kontrol edin. Yama sonrası ilk iş, sitenin tam bir yedeğini güvenli ve ayrı bir konumda saklamak olmalı.

Web siteniz hangi WordPress sürümünde çalışıyor, hosting tarafında hangi erişim kuralları tanımlı ve son yedeğiniz gerçekten geri yüklenebilir durumda mı bilmiyorsanız, kontrolü biz yapalım. İstanbul Anadolu Yakası'ndaki ofisinizde yerinde veya uzaktan destekle sürüm doğrulaması, sunucu sıkılaştırması ve yedek testini birlikte ele alıyoruz. Detaylı bilgi için iletişim sayfamızdan bize ulaşabilirsiniz.

Kaynak: BleepingComputer, "CISA flags WordPress RCE flaw as actively exploited in attacks" (3 Kasım 2026); The Hacker News, "CISA Confirms Hackers Exploiting WordPress Core Flaw During Software Upgrades"; CISA Known Exploited Vulnerabilities Catalog.