Saldirganlar yeni yamalanan WordPress Core kod calistirma acigini istismara kosuyor

Guvenlik firmasi Wordfence'in analizine dayanan SecurityWeek'e gore saldirganlar, WordPress Core'da yeni aciklanan yuksek onem dereceli bir zafiyeti halihazirda istismar etmeye calisiyor. Acik, herhangi bir eklenti veya temada degil WordPress Core'un guncelleme surecinde bulunuyor ve kimlik dogrulamasiz uzaktan kod calistirma icin kotuye kullanilabiliyor.

Neler oldu?

SecurityWeek'in Ionut Arghire imzali 30 Ekim 2026 tarihli haberinde sorun, WordPress'in guncelleme paketlerini acmasindaki bir race condition olarak tanimlaniyor. Habere gore yeni dosyalar, bircok sunucunun web'e acik birakti bir ara dizine cikariliyor ve bu yollar tahmin edilebilir. Yukleme dosyalari iceren tam paketli bir guncelleme kullanan ve kisa acilma penceresi icinde bu yollara ulasabilen bir saldirgan, sitede hic hesabi olmadan kod calistirabilir. SecurityWeek, saldiri karmasikliginin yuksek oldugunu belirtiyor: Saldirganin, WordPress gecici dosyalari silmeden once dar bir zaman araligini yakalamasi gerekiyor. Henuz bir CVE kimligi atanmadi.

Aktif istismar

SecurityWeek'e gore Wordfence, tehdit aktorlerinin savunmasiz yollari tekrar tekrar yoklayarak acigi istismar etmeye calistigini soyluyor. Wordfence'in yeni guvenlik duvari kuralina ilk istek, kural devreye alindiktan yalnizca dokuz dakika sonra geldi ve firma ilk 21 saatte ara dizindeki setup-config.php yukleme yollarini hedef alan 18.500'den fazla istek kaydetti. Wordfence su ana kadar basarili bir ele gecirme bildirmedi.

Kimler etkileniyor?

Zafiyet, web'in buyuk bir bolumunu calistiran WordPress Core'da bulundugu icin cekirdek guncellemesi yapan her site potansiyel olarak kapsam dahilinde. SecurityWeek, duzeltmenin WordPress 4.7'ye kadar geri tasindigini bildiriyor; bu da zafiyetin eski birçok surumde mevcut oldugunu gosteriyor. Haberde kesin savunmasiz surum araligi belirtilmiyor.

Ne yapmali?

SecurityWeek'e gore sorun, 28 Ekim 2026'da WordPress 7.1.4 ile kapatildi; bu surum artik ara dizini rastgeleligtiriyor, bir dizin koruyucusu ekliyor ve ara yapilandirma verisinin guvensiz bicimde yukseltilmesini engelliyor. Ayni surum toplam 22 guvenlik kusurunu gideriyor; bunlar arasinda birkac siteler arasi betik calistirma (XSS) acigi, Interactivity API sorunlari, kimlik dogrulamasiz bir bilgi sizdirma hatasi ve bir yetkilendirme zafiyeti bulunuyor. Surum ayrica eMudhra iptalinin ardindan birlikte gelen kok sertifikalari guncelliyor. Yoneticiler gecikmeden 7.1.4 surumune (veya kendi kolu icin geri tasinan duzeltmeye) gecmeli. Saldiri, guncelleme sirasinda web'den erisilebilen ara dizinlere dayandigi icin operatorlerin bu ara dizinlerin web'e acik olmadigini da dogrulamasi gerekiyor.