CISA, aktif istismar edilen WordPress açığını KEV'e ekledi; düzeltmeyi kurarken site son bir kez açıkta kalabiliyor

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), WordPress çekirdeğindeki CVE-2026-119977 açığını 3 Kasım 2026'da Bilinen İstismar Edilen Açıklar (KEV) kataloğuna ekledi. Açığı Picus Security araştırmacısı Umut Bayram bildirdi. Wordfence açığa CVSS 8.1 puan verirken WordPress'in kendi bülteni daha düşük bir risk derecesi kullanıyor.

Açık nerede?

Sorun, WordPress'in tam paketle yapılan çekirdek güncellemelerinde kullandığı geçici klasörden kaynaklanan bir TOCTOU yarış durumu. Güncelleme sırasında yeni sürümün kopyası, kurulum dosyalarıyla birlikte wp-content/upgrade altında web üzerinden erişilebilen bir klasöre açılıyor. Klasör adını tahmin edip kopya silinmeden önce kurulum dosyasına ulaşan kimliği doğrulanmamış bir saldırgan, sunucuda kod çalıştırabiliyor.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

Açık WordPress 4.7 ile 7.1.3 arasındaki sürümleri etkiliyor; düzeltme 28 Ekim'de yayımlanan 7.1.4 ve eski dallar için çıkarılan güncellemelerle geldi. 4.6 ve öncesi artık güvenlik güncellemesi almıyor.

"Son bir kez" riski

The Hacker News'in aktardığına göre düzeltme klasör adını rastgele hale getiriyor; ancak düzeltmeyi kuran güncelleme hâlâ eski kodla çalışıyor. 5.9 ve sonraki sürümlerde bu eski kod klasör adını tahmin edilebilir biçimde oluşturduğu için, yükseltme anında site son bir kez açıkta kalabiliyor. Otomatik arka plan güncellemeleri de aynı yolu izliyor; WP-CLI ile güncelleme de bir çözüm değil.

Wordfence, son 24 saatte bu açığı hedefleyen 13.095 saldırıyı engellediğini, güvenlik duvarı kuralını devreye aldıktan dokuz dakika sonra ilk denemeleri gördüğünü bildirdi. Bazı kaynakların küçük site gruplarını saatlerce yoklaması, güncelleme anının yakalanmaya çalışıldığını düşündürüyor.

Ne yapılmalı?

• Güncellemeden önce web sunucusu yapılandırmasında wp-content/upgrade klasörüne web erişimini engelleyin ve isteklerin 403 döndüğünü doğrulayın.
• Ardından 7.1.4'e veya kullandığınız dalın düzeltilmiş sürümüne geçin.
• Alternatif olarak, güncellemeyi web kökü dışında açılan paketle elle yapın.
• wp-content/upgrade altındaki beklenmeyen PHP dosyalarını, tanımadığınız yönetici hesaplarını ve kimsenin kurmadığı eklentileri kontrol edin.