GiveWP WordPress Eklentisindeki Kritik Açık Sunucularda Komut Çalıştırabiliyor

WordPress sitelerinde bağış toplamak için kullanılan GiveWP eklentisinde kritik bir güvenlik açığı keşfedildi ve saldırganların sunucuda uzaktan komut çalıştırmasına yol açabilecek sorun 4.16.7.2 sürümünde giderildi. CVE-2026-82222 olarak takip edilen açık, 4.16.7.1 ve daha eski etkilenen sürümlerde bulunurken 27 Ağustos’ta yayımlanan güncelleme saldırı zincirini devre dışı bıraktı. 100 binden fazla kuruluma sahip eklentiyi kullanan yöneticilerin güncel sürüme geçmesi gerekiyor.

GiveWP Açığı Saldırganlara Sunucu Üzerinde Komut Çalıştırma Yolu Açtı

Patchstack araştırmacılarının incelemesinde CVE-2026-82222, üç ayrı güvenlik probleminin aynı saldırı zincirinde birleştirilmesiyle ortaya çıktı. PHP verilerinin güvenli olmayan şekilde serileştirilmemiş hâle getirilmesi, bağış işlemleri sırasında saldırgan tarafından kontrol edilen serileştirilmiş nesnelerin oturum verilerine yazılması ve eklentiyle birlikte gelen kütüphanelerdeki gadget zinciri saldırının temel aşamalarını oluşturdu.

Saldırı akışında ilk engel olan kullanıcı hesabı gereksinimi de saldırgan açısından tamamen koruyucu bir mekanizma oluşturmadı. Patchstack, GiveWP’nin give_action=user_register adlı kayıt işleminin WordPress’in users_can_register ayarını kontrol etmediğini belirlediği için kayıt özelliği kapalı sitelerde dahi yeni hesap oluşturulabildiğini açıkladı. Saldırgan oluşturduğu hesapla kimlik doğrulama çerezi aldıktan sonra saldırının sonraki aşamalarına geçebildi.

GiveWP kullanan bir sitenin saldırıya açık olması için yalnızca savunmasız sürümün çalışması yeterli olmadı. Patchstack, 4.16.6 ile 4.16.7.1 arasındaki sürümlerde belirli eski bağış formlarının bulunmasını ek bir koşul olarak tanımladı ve özellikle formBuilderSettings alanı bulunmayan formların saldırı zincirinde rol oynadığını bildirdi.

Güncellenmiş kurulumlar, seçenek tabanlı form düzenleyicisini kullanan siteler veya eski formları içe aktaran sistemler söz konusu koşulla karşılaşabiliyor. Saldırgan kimlik doğrulamasını tamamladıktan sonra profil verisine hazırlanmış bir serileştirilmiş nesne yerleştirerek bağış işlemini kullanabiliyor ve kötü amaçlı nesnenin wp_give_sessions veritabanına yazılmasını sağlayabiliyor.

Sunucunun sonraki HTTP isteğinde ilgili oturum verisini işlerken nesneyi yeniden oluşturması saldırı zincirinin kritik aşamasını oluşturdu. Gadget zinciri devreye girdiğinde saldırgan tarafından belirlenen sistem komutu çalıştırılabildiği için sorun yalnızca WordPress uygulama katmanında veri manipülasyonuyla sınırlı kalmadı.

GiveWP geliştiricileri 27 Ağustos’ta yayımlanan 4.16.7.2 sürümüyle açığın temel nedenlerine yönelik değişiklikler yaptı. Yeni sürüm bağış işlemleri sırasında serileştirilmiş verilerin kabul edilmesini engellerken çeşitli serileştirme noktalarında nesne oluşturma davranışını da sınırlandırdı.

Güvenlik güncellemesi ayrıca daha önce etkilenen veritabanlarına yazılmış serileştirilmiş nesne yüklerini temizliyor. WordPress güvenliği açısından veritabanındaki eski saldırı verilerinin kaldırılması önem taşıyor çünkü yalnızca kodun güncellenmesi daha önce kaydedilmiş kötü amaçlı içeriklerin sistemde kalmasını tek başına ortadan kaldırmayabiliyor.

GiveWP güvenlik açıkları, bağış kabul eden WordPress siteleri açısından doğrudan sunucu güvenliği riski oluşturduğu için önem taşıyor. Eklentinin 100 binden fazla kuruluma ulaşması sorunun etki alanını genişletirken saldırının düşük seviyeli bir web açığından sunucu üzerinde komut çalıştırma aşamasına ulaşabilmesi riskin teknik boyutunu artırıyor.

GiveWP daha önce de saldırganların hedefi olmuştu. Geçen yıl gerçekleştirilen bir saldırı zincirinde eklentideki bir sorun Pi-hole altyapısına yönelik ihlalin dolaylı aşamasında kullanılırken yaklaşık 30 bin bağışçının isimleri ile e-posta adresleri açığa çıkmıştı. Yeni vakada doğrudan bir istismar tespit edildiğine dair açıklama bulunmaması riski ortadan kaldırmıyor çünkü CVE-2026-82222’nin etkilediği bileşenler bir WordPress sitesinin uygulama sınırlarının dışına taşabilecek sonuçlar doğurabiliyor.

Türkiye’deki bağış kampanyalarını yöneten WordPress siteleri açısından ilk kontrol edilmesi gereken nokta GiveWP sürümü oluyor. Site yöneticilerinin 4.16.7.2 veya daha yeni bir sürüm kullandığını doğrulaması, eski bağış formlarını incelemesi, güncelleme sonrasında veritabanı ile yönetici hesaplarında olağan dışı değişiklikleri kontrol etmesi saldırı riskinin azaltılmasına yardımcı olabilir.

Gelecek dönemde WordPress eklenti güvenliği açısından asıl baskı noktası yalnızca yeni bir sürümün yayımlanması olmayacak. Serileştirme işlemleri, kullanıcı kayıt akışları, oturum verileri ile üçüncü taraf kütüphaneler arasındaki bağlantılar saldırı yüzeyinin önemli parçaları hâline geldiği için geliştiricilerin güvenlik kontrollerini tek bir işlev yerine bütün işlem zincirini kapsayacak şekilde ele alması gerekecek.