WordPress Sunucularını Hedef Alan Açık İçin Acil Yama Çağrısı Yapıldı
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), WordPress sistemlerini etkileyen yüksek önem dereceli bir güvenlik açığının saldırılarda kullanılmaya başlandığını duyurdu. CVE-2026-119977 koduyla izlenen kusur, WordPress çekirdeğinin güncelleme sürecindeki bir yarış koşulundan kaynaklanıyor. CISA, federal kurumlara sistemlerini güvenceye almaları için son tarih verirken diğer kuruluşlara da acil güncelleme çağrısı yaptı.
WordPress Çekirdeğindeki Açık Sunucularda Kod Çalıştırabiliyor
CVE-2026-119977 olarak izlenen güvenlik açığı, WordPress’in tam paket çekirdek güncellemesi sırasında ortaya çıkan TOCTOU (Time-of-check Time-of-use) yarış koşulundan kaynaklanıyor. Picus Security araştırmacısı Umut Bayram tarafından bildirilen kusur, güncelleme işlemi devam ederken web üzerinden erişilebilen geçici dosya yollarının tahmin edilebilir olmasından yararlanıyor.
Saldırganlar, uygun koşullar oluştuğunda kimlik doğrulaması veya özel yetkiler gerektirmeden uzaktaki sunucuda kod çalıştırabiliyor. Ancak başarılı saldırı için güncelleme penceresinin yakalanması ve belirli teknik koşulların sağlanması gerekiyor. Güvenlik açığının yüksek karmaşıklık derecesi de istismarın her denemede başarıya ulaşmadığını gösteriyor.
WordPress güvenlik ekibi, 28 Ekim’de yayınladığı 7.1.4 sürümüyle söz konusu kusuru giderdi. Ekip, güvenlik güncellemesinin tüm sitelere gecikmeden kurulmasını tavsiye etti. Güncelleme sürecindeki geçici dosya yollarını hedef alan saldırılar, özellikle çekirdek yükseltmesi sırasında sunucuların maruz kalabileceği riski ortaya koyuyor.
CISA, salı günü CVE-2026-119977 açığının gerçek saldırılarda kullanıldığını doğrulayarak kusuru Known Exploited Vulnerabilities (KEV) kataloğuna ekledi. Ajans, Bağlayıcı Operasyonel Direktif 26-04 kapsamında ABD Federal Sivil Yürütme Organı kurumlarına sistemlerini cuma gününe kadar güvenceye alma talimatı verdi.
CISA, söz konusu güvenlik açığı türünün kötü niyetli siber aktörler tarafından sık kullanılan saldırı yöntemlerinden biri olduğunu belirtti. Ajansın talimatı doğrudan ABD federal kurumlarını kapsasa da güvenlik ekipleri özel sektör kuruluşlarına da aynı açığı öncelikli olarak kapatma çağrısında bulundu.
KEV kataloğu, saldırılarda aktif olarak kullanıldığı doğrulanan güvenlik açıklarını takip ediyor. CISA’nın bir kusuru bu listeye eklemesi, kurumların ilgili sistemleri envanterlerinde belirlemesini ve güvenlik güncellemelerini önceliklendirmesini gerektiriyor.
WordPress güvenlik şirketi Wordfence, hafta sonu yayınladığı danışma notunda CVE-2026-119977 açığını hedef alan saldırı trafiğinde ciddi bir hareketlilik bildirdi. Şirketin açıklamasına göre güvenlik sistemleri, yalnızca 24 saat içinde bu kusuru hedefleyen 13.095 saldırı girişimini engelledi.
Bu sayı, saldırganların güvenlik açığından yararlanmak için yoğun girişimlerde bulunduğunu gösteriyor. Ancak engellenen saldırı sayısı, başarılı ihlal veya ele geçirilen sunucu sayısıyla aynı anlama gelmiyor. Wordfence’in verileri saldırı girişimlerinin boyutunu ortaya koyarken CISA’nın açıklaması açığın gerçek saldırılarda kullanıldığını doğruluyor.
WordPress yöneticilerinin öncelikle 7.1.4 sürümüne veya güvenlik düzeltmesini içeren daha yeni bir sürüme geçmesi gerekiyor. Kurumların ayrıca güncelleme işlemlerini tamamlaması, sunucu günlüklerini incelemesi ve şüpheli dosya ya da beklenmedik kod çalıştırma faaliyetlerini araştırması önem taşıyor.
WordPress çekirdeğindeki yeni açık, platformun önceki aylarda karşılaştığı saldırı zincirlerinin ardından gündeme geldi. Temmuz ayında güvenlik ekibi, wp2shell adı verilen kritik bir açık zincirini gideren güncellemeler yayınladı. Saldırganlar, REST API toplu yönlendirme karışıklığına dayanan CVE-2026-63030 ile SQL enjeksiyonu kusuru CVE-2026-60137 açıklarını bir araya getirerek savunmasız sunuculara web kabukları yerleştirebiliyordu.
Yama yayınlandıktan yalnızca bir gün sonra kamuya açık istismar kodlarının ortaya çıkması, güncellenmemiş sistemler üzerindeki baskıyı artırdı. Saldırganlar birkaç gün içinde savunmasız sunuculara sızarak kalıcı erişim sağlayan web kabukları yerleştirdi ve kötü amaçlı eklentiler yükledi.
Eylül ayında Çince konuşan bir tehdit aktörü de wp2shell zincirini kullanarak küçük işletmelerin ve kamu kuruluşlarının arka uç veritabanlarında saklanan hassas bilgilere erişti. Saldırganın 18.500’den fazla kayda ait veriyi ele geçirdiği bildirildi.
WordPress altyapısı kullanan kuruluşlar açısından güncel güvenlik yamalarının kurulması, yalnızca yazılım bakımının bir parçası olarak değerlendirilmemeli. Aktif istismar bildirimi bulunan açıklar, güncelleme yapılmadığında sunucuların uzaktan ele geçirilmesine kadar uzanan sonuçlar doğurabiliyor.
