WordPress çekirdeğindeki CVE-2026-119977 açığı, güncelleme anında sunucuda kod çalıştırılmasına izin veriyor. CISA zafiyeti aktif istismar listesine ekledi; düzeltme WordPress 7.1.4 ile geldi.
WordPress çekirdeğinde bulunan ve güncelleme işlemi sırasında saldırganların sunucuda kod çalıştırmasına izin veren bir açık, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) tarafından aktif olarak istismar edilen zafiyetler listesine (KEV) eklendi. CVE-2026-119977 kodlu zafiyetin CVSS puanı 8.1 olarak belirlendi.
Olay nedir?
Zafiyet, WordPress'in çekirdek güncellemesini uygularken geçici dosyaları ele alış biçiminden kaynaklanıyor. Güncelleme sırasında dosyalar wp-content/upgrade/ dizinine açılıyor. Bu dizin web üzerinden erişilebilir durumdaysa ve PHP çalıştırabiliyorsa, saldırgan geçici kurulum dosyasına ulaşabiliyor. Kurulum dosyası canlı yapılandırmayı göremediği için siteyi kurulmamış sayıyor; saldırgan kendi veritabanı bilgilerini girerek yeni bir yapılandırma dosyası yazdırabiliyor. Yamalanmamış sürümlerde bu dosya canlı yapılandırmanın üzerine kopyalanıyor ve saldırgan yönetici hesabı açarak sunucuda PHP kodu çalıştırabiliyor.
Saldırının başarılı olması için güncellemenin sürdüğü kısa zaman aralığının yakalanması gerekiyor; bu nedenle zafiyet bir yarış durumu (TOCTOU) olarak sınıflandırılıyor. Ancak saldırgan için herhangi bir hesap gerekmiyor.
Neden önemli?
Zafiyeti bulan Picus Security araştırmacısı Umut Bayram, sorunlu davranışın kökeninin 2008 tarihli WordPress 2.7 sürümüne kadar uzandığını belirtiyor. Kamuya açık danışma belgelerinde etkilenen sürüm aralığı 4.7 ile 7.1.3 arası olarak listeleniyor. Düzeltmeyi içeren WordPress 7.1.4 sürümü 28 Ekim 2026'da yayımlandı; yeni sürüm geçici dizin adlarını rastgeleleştiriyor ve geçici yapılandırma dosyasının canlı dosyanın üzerine yazılmasını engelliyor.
İstismar girişimleri yama yayımlandıktan kısa süre sonra başladı. Güvenlik firması Wordfence, açığın duyurulmasını izleyen ilk 21 saat içinde geçici kurulum yollarını hedefleyen 18.500'den fazla istek kaydettiğini bildirdi. CISA zafiyeti 3 Kasım 2026'da KEV kataloğuna ekledi ve ABD'deki federal kurumlara 6 Kasım 2026 tarihine kadar yama uygulama zorunluluğu getirdi.
Türkiye ve KOBİ tarafındaki karşılığı
Türkiye'de kurumsal web sitelerinin önemli bir bölümü WordPress üzerinde çalışıyor. Bu siteler çoğu zaman şirketin kurumsal kimliğinin en görünür parçası olduğu gibi, aynı sunucuda mail veya dosya hizmetleriyle birlikte barındırılabiliyor. Ele geçirilen bir web sitesi yalnızca itibar kaybı değil; müşteri formlarındaki kişisel verilerin sızması anlamına da gelebiliyor. Kişisel veri içeren bir sistemin ele geçirilmesi, 6698 sayılı Kanun kapsamında Kişisel Verileri Koruma Kurulu'na 72 saat içinde veri ihlali bildirimi yükümlülüğünü doğurabiliyor.
Küçük ve orta ölçekli şirketlerde web sitesi genellikle dışarıdan bir ajansa yaptırılıp sonrasında sahipsiz kalıyor. Otomatik güncelleme açık olsa bile, sunucu yapılandırması uygun değilse güncelleme anının kendisi bir risk penceresi oluşturuyor.
Kamer Bilişim olarak ne öneriyoruz?
- Sürümü doğrulayın ve 7.1.4'e yükseltin. Yönetim panelindeki sürüm bilgisini kontrol edin. 4.7 ile 7.1.3 arasındaki her kurulum etkileniyor; 2.7-4.6 aralığındaki çok eski kurulumlar için düzeltme yayımlanmadı, bunların doğrudan güncel sürüme taşınması gerekiyor.
- Güncelleme dizinini web erişimine kapatın. Sunucu yapılandırması veya kök dizindeki .htaccess dosyası üzerinden wp-content/upgrade/ dizinine dışarıdan erişimi engelleyin ve adresin 403 döndürdüğünü doğrulayın. Bu önlem, güncelleme anındaki risk penceresini kapatıyor.
- Güncelleme öncesi yedek alın ve sonrasında kontrol edin. Güncellemeden önce dosya ve veritabanı yedeğini alın; işlemden sonra yönetici kullanıcı listesini, kurulu eklentileri ve wp-config.php dosyasının değişiklik tarihini inceleyin. Beklenmeyen bir yönetici hesabı veya yeni eklenti varsa sistemi ele geçirilmiş kabul edin.
Barındırma, sunucu bakımı ve güvenlik yapılandırması hizmetlerimizle İstanbul Anadolu Yakası'ndaki kurumlara yerinde ve uzaktan destek veriyoruz. Web sunucunuzun güncel ve güvenli olduğundan emin olmak için iletişim sayfamızdan bize ulaşabilirsiniz.
Kaynak: The Hacker News, Hackread, CISA Known Exploited Vulnerabilities Catalog
Kaynak: The Hacker News