WordPress Üyelik Eklentisindeki Kritik Açık Saldırganların Yönetici Hesabı Oluşturmasına Yol Açtı

WordPress sitelerinde yaygın olarak kullanılan bir üyelik eklentisinde ortaya çıkan kritik güvenlik açığı aktif olarak istismar ediliyor. Güvenlik araştırmacıları saldırganların bu açık sayesinde kimlik doğrulaması olmadan yönetici hesabı oluşturabildiğini açıkladı. Açık özellikle kullanıcı kayıt işlemleri üzerinden yetki yükseltme imkânı sağladığı için ciddi bir güvenlik riski oluşturuyor.

WordPress Üyelik Eklentisindeki Güvenlik Açığı Yetki Yükseltmeye Neden Oluyor

WPEverest tarafından geliştirilen User Registration & Membership eklentisi kullanıcı kayıt yönetimi ile üyelik sistemi oluşturmak için kullanılıyor. Eklenti PayPal ile Stripe ödeme entegrasyonu, özel kayıt formları, banka transferi desteği ile analiz araçları gibi özellikler sunuyor. WordPress ekosisteminde 60 binden fazla site bu eklentiyi aktif şekilde kullanıyor.

Araştırmacılar eklentideki güvenlik açığını CVE-2026-1492 koduyla takip ediyor. Güvenlik açığı kritik seviye olan 9.8 puanla değerlendirildi. Açık kullanıcı kayıt sürecinde rol bilgisinin doğrudan kullanıcı tarafından belirlenebilmesine dayanıyor. Saldırganlar bu mekanizmayı kullanarak doğrulama süreci olmadan yönetici yetkisine sahip hesap oluşturabiliyor.

WordPress sisteminde yönetici hesabı en yüksek erişim yetkisini sağlıyor. Yönetici yetkisine sahip bir kullanıcı eklenti ile tema kurabiliyor, PHP kodunu düzenleyebiliyor, güvenlik ayarlarını değiştirebiliyor. Aynı yetkiler saldırganların site sahiplerini sistemden tamamen dışlamasına da izin veriyor.

Saldırganlar yönetici erişimi elde ettiğinde sitenin veritabanındaki kullanıcı bilgilerine ulaşabiliyor. Saldırganlar ayrıca siteye zararlı kod ekleyerek ziyaretçilere kötü amaçlı yazılım dağıtabiliyor. Güvenlik uzmanları bu nedenle açık kapatılana kadar sitelerin dikkatli olması gerektiğini belirtiyor.

WordPress güvenlik şirketi Defiant araştırmacıları son 24 saat içinde bu açığı hedef alan 200’den fazla saldırı girişimini engellediğini açıkladı. Defiant aynı zamanda WordPress için yaygın kullanılan Wordfence güvenlik eklentisinin geliştiricisi olarak biliniyor.

Araştırmacılar güvenlik açığının User Registration & Membership eklentisinin 5.1.2 sürümüne kadar olan tüm versiyonlarını etkilediğini belirtiyor. Geliştirici ekip güvenlik açığını 5.1.3 sürümünde düzeltti. Eklentinin en güncel sürümü olan 5.1.4 versiyonu ise geçtiğimiz hafta yayınlandı.

Güvenlik uzmanları WordPress site yöneticilerinin eklentiyi en güncel sürüme yükseltmesini öneriyor. Güncelleme yapılamayan durumlarda uzmanlar eklentinin geçici olarak devre dışı bırakılmasını tavsiye ediyor.

WordPress siteleri uzun süredir saldırganların hedefinde bulunuyor. Saldırganlar WordPress altyapısını kötü amaçlı yazılım dağıtımı, kimlik avı saldırıları, komuta kontrol sunucuları barındırma veya çalınmış verileri depolama amacıyla kullanabiliyor.