Avada WordPress Temasında Kritik Açık Ortaya Çıktı: Siteler Tek Tıklama Olmadan Ele Geçirilebiliyor
WordPress için geliştirilen popüler Avada temasında keşfedilen kritik güvenlik açığı, kimlik doğrulaması gerektirmeden sunucuda PHP kodu çalıştırılmasına yol açabiliyor. CVE-2026-18431 olarak izlenen açık zinciri, 9,8 kritik önem derecesi alırken saldırının kullanıcı etkileşimi gerektirmemesi riski daha da büyütüyor. ThemeFusion, güvenlik sorununu Avada 7.16.1 ile Fusion Builder 3.16.1 sürümlerinde giderirken yöneticilerin güncellemeyi geciktirmemesi gerekiyor.
Altı Güvenlik Açığı Birleşerek Uzaktan Kod Çalıştırma Sağlıyor
Wordfence araştırmacıları, CVE-2026-18431 kapsamında altı ayrı güvenlik problemini birbirine bağlayan bir saldırı zinciri ortaya çıkardı. Saldırgan ilk aşamada herkese açık bir isteğe kendi kontrolündeki veriyi yerleştirirken sonraki adımlarda anonim kullanıcılara kapalı işlevlere ulaşarak yetkili bileşenleri amaçlanmayan bağlamlarda çalıştırabiliyor.
Saldırı zincirinin ilerleyen aşamalarında istek verileri güvenilir kabul edilen durumları etkileyebiliyor, yeterince korunmayan yönetim işlemlerine erişim sağlanabiliyor, dosya yazma kısıtlamaları aşılabiliyor. Son aşamada saldırgan sunucu üzerinde istediği PHP kodunu çalıştırabildiği için WordPress sitesinin kontrolünü büyük ölçüde ele geçirebiliyor.
Avada 7.16 ve daha eski sürümleri ile Fusion Builder 3.16 ve daha eski sürümleri güvenlik açığından etkileniyor. Fusion Builder, Avada temasının çalışması için gerekli eklenti olduğundan Avada kullanan sitelerde saldırı zincirinin gerektirdiği iki bileşen birlikte bulunuyor.
Avada’nın bugüne kadar 1 milyondan fazla satışa ulaşması, CVE-2026-18431 için potansiyel hedef sayısını genişletiyor. Wordfence’in açıklamasına göre Avada temasının kurulu olduğu bir site, gerekli eski sürümleri çalıştırdığı sürece güvenlik açığı açısından saldırıya açık durumda bulunuyor.
Saldırganlar başarılı bir istismarın ardından ele geçirilen WordPress sitelerini kötü amaçlı yazılım dağıtmak, veritabanlarına erişmek veya ziyaretçileri zararlı internet adreslerine yönlendirmek için kullanabiliyor. Yetkisiz yönetici hesaplarının oluşturulması da saldırganın site üzerindeki erişimini kalıcılaştırabilecek yöntemler arasında yer alıyor.
WordPress sitelerinin çoğu internet üzerinden doğrudan erişilebilir durumda olduğu için sunucu tarafında PHP kodu çalıştırılabilmesi yalnızca tek bir sayfanın değiştirilmesiyle sınırlı bir sonuç doğurmuyor. Saldırganın elde ettiği erişim düzeyi, sitenin barındırıldığı sunucudaki diğer verilere veya hizmetlere ulaşma riskini de artırabiliyor.
Wordfence araştırmacıları güvenlik açığı zincirini Argus adlı kurum içi yapay zekâ destekli bir araştırma çerçevesi kullanarak keşfetti. Sistem 30 Temmuz’da açığı bulup yeniden üretirken araştırmacılar teknik ayrıntıları 5 Ağustos’ta ThemeFusion’a iletti.
ThemeFusion, bildirimi 10 Ağustos’ta kabul ettikten sonra güvenlik düzeltmelerini hazırladı. Wordfence ise saldırının teknik olarak yeniden oluşturulmasını kolaylaştırabilecek tam ayrıntıları henüz paylaşmıyor ve yöneticilere sistemlerini güncellemek için zaman tanıyor.
ThemeFusion, Avada 7.16.1 ile Fusion Builder 3.16.1 sürümlerinde CVE-2026-18431 sorununu giderdi. Avada kullanan site yöneticilerinin tema ile Fusion Builder eklentisinin güncel sürümlerini birlikte kontrol etmesi, ardından WordPress güvenlik günlüklerinde şüpheli yönetici hesapları veya beklenmeyen dosya değişiklikleri bulunup bulunmadığını incelemesi gerekiyor.
Güncellemenin ardından yöneticilerin yalnızca temanın sürümünü kontrol etmesi yeterli olmayabilir çünkü güvenlik zincirinin çalışmasında Fusion Builder da rol oynuyor. WordPress güvenliği açısından güncel olmayan eklentiler, temalar ile çekirdek bileşenlerin düzenli olarak denetlenmesi, benzer zincir saldırılarının oluşturabileceği riski azaltan temel yönetim adımlarından biri olarak önemini koruyor.
