WordPress'in çekirdek güncelleme sürecinde bulunan ve CVE-2026-119977 koduyla izlenen açık, kimlik doğrulaması gerektirmeden sunucuda kod çalıştırılmasına imkân veriyor. Açığı Türk güvenlik şirketi Picus Security'den araştırmacı Umut Bayram bildirdi. WordPress ekibi açığı 28 Ekim'de yayımlanan 7.1.4 sürümüyle kapattı ve sitelerin hemen güncellenmesini önerdi.
Açık nasıl çalışıyor?
Açık, CVSS puanı 8,1 olan bir yarış durumu (race condition) hatası. Tam paket çekirdek güncellemesi sürerken dosyaların geçici olarak tutulduğu ve tahmin edilebilir adreslerde web'den erişilebilen bir aralık oluşuyor. Saldırgan bu kısa zaman aralığını yakalayarak sunucuda kendi kodunu çalıştırabiliyor.
Saldırılar başladı
İlk istismar denemeleri 30 Ekim'de tuzak sistemlerde görüldü. ABD siber güvenlik ajansı CISA, açığı 3 Kasım'da aktif olarak istismar edilen açıklar listesine ekledi ve kamu kurumlarına 6 Kasım'a kadar güncelleme süresi verdi. WordPress güvenlik eklentisi Wordfence, bu açığı hedef alan 13 binden fazla saldırıyı yalnızca 24 saat içinde engellediğini açıkladı.
Ne yapmalısınız?
- Yönetim panelinde Pano › Güncellemeler bölümünden sürümünüzü kontrol edin; 7.1.4 veya daha yeni değilse hemen güncelleyin.
- Güncellemeden önce sitenizin ve veritabanınızın güncel bir yedeğinin olduğundan emin olun.
- Tanımadığınız yönetici hesapları ve sitenizin klasörlerinde son günlerde oluşmuş bilinmeyen dosyalar olup olmadığına bakın.
- Eklenti ve temaları da güncel tutun; mümkünse bir web uygulama güvenlik duvarı (WAF) kullanın.
Kurumsal web sitenizin veya e-ticaret altyapınızın güvenliğinden emin değilseniz penetrasyon testi ve düzenli yedekleme ile yardımcı olabiliriz.