Görsel Kaynağı: The Hacker News
Tehlike aktörleri, yamalar yayıldıktan kısa bir süre sonra WordPress Çekirdek’te yüksek ciddiyetli bir güvenlik açığını kullanmaya çalışıyor.
CVE kimliği bulunmayan açıklık, WordPress Çekirdek’in 4.7’den 7.1.3’e kadar olan sürümlerini etkileyen bir uzak kod çalıştırma durumunu içeriyor. CVSS puanlama sisteminde 8.1 CVSS puanına sahip. Açığın yamarı 28 Ekim 2026’da yayınlandı.
“Bu durum, tam paket çekirdek güncellemeleri sırasında kullanılan, öngörülebilir ve web üzerinden erişilebilir geçici dizin yollarından kaynaklanıyor,” dedi Wordfence. “Bu da kimliği doğrulanmayan saldırganların güncelleme penceresi sırasında sunucuda kod çalıştırabilmesini sağlıyor.”
WordPress güvenlik şirketi, başarılı bir açığı kullanmanın, saldırganın “WordPress tam bir Çekirdek güncellemesini ayrıştırdığı sırada çok dar bir pencereyi yakalamasını” gerektirdiğini belirtti.
Durum, etkilenen sürümlerin tam paket bir Çekirdek güncellemesinin yeni dosyalarını öngörülebilir bir dizin olan “wp-content/upgrade” altında ayrıştırmaya indirgeniyor. Bu kopya aynı zamanda WordPress kurucusunu da içeriyor.
“Çünkü geçici dizin birçok sunucuda web erişimine açık, kurucuyu tam doğru anda isteyen kimliği doğrulanmayan bir saldırgan, geçici olarak yerleştirilmiş WordPress kopyasıyla etkileşime geçebilir ve PHP kod çalıştırma aşamasına ilerleyebilir,” dedi Wordfence Tehlike Tepki Ekibi’nin lideri Alex Thomas.
Race condition (yarışım hatası) durumunda galip gelen bir tehlike aktörü, aşağıdaki koşullar sağlandıkça sunucuda kod çalıştırma yeteneği kazanabilir –
- Kurucu dosyalarını içeren tam paket bir güncelleme
- Geçici ağaca halka açık web ve PHP erişimi
- Öngörülebilir veya keşfedilmiş bir geçici yol, ve
- WordPress geçici dosyaları temizlemeden önce saldırıyı tamamlamak için yeterli süre
Bu pencerenin normal laboratuvar ortamlarında yalnızca birkaç saniye sürdüğü gözlemlenmiş olsa da, tehlike aktörleri açığı tetiklemeye çalışmak için “setup-config.php” gibi savunmasız yolları tekrar tekrar sorguluyor. Geçen 24 saat içinde Wordfence, açığa yönelik 62.969 saldırıyı engellediğini belirtti.
“Büyük kaynaklardan ikisi, yaklaşık 14,5 saat boyunca sitelerin küçük gruplarını tekrar tekrar sorguladı; bu davranış, kısa yükseltme penceresini yakalamaya çalışmakla uyumlu,” dedi Thomas. “Diğer kaynaklar birçok aşama dizini ve sürüm adı varyasyonunu test etti.”
“Her istek hassas yolu tam olarak kullanmadı, ancak sürdürülebilir sorgulama ve tam yerleşim taramaları, saldırganların race condition (yarışmalı koşul) durumunu hızla anladığını ve bunu hedeflemeye başladığını gösteriyor.”
Aktif sömürü denemeleri zaten sürmekteken, WordPress site sahiplerinin mümkün olan en kısa sürede 7.1.4 sürümüne güncelleme yapmaları ve “wp-content/upgrade” altında yer alan PHP dosyalarına yönelik şüpheli istekler, tanımadıkları yönetici hesapları, eklentiler veya PHP dosyaları açısından dikkatli olmaları öneriliyor.
Bu Gelişmeyi Toplulukta Değerlendirin
Haber hakkındaki düşüncelerinizi, donanım deneyimlerinizi ve teknik sorularınızı topluluk üyeleriyle anlık olarak tartışın.
Bu gelişme hakkında düşüncelerinizi, donanım deneyimlerinizi veya sorularınızı Topluluk Forumumuzda paylaşın.
Foruma Katıl & Yanıtla ➔
Söz sizde.
Deneyiminizi, sorularınızı ve katkılarınızı paylaşın. E-posta adresiniz yayımlanmaz.