Ing. Calogero Bono
WordPress 7.1.4, 28 Ekim'de yayımlanan bir güvenlik sürümü ve çekirdek güncellemesi sırasında sunucuda kod çalıştırmaya izin veren bir açığın düzeltmesini içeriyor. ABD'li CISA, CVE-2026-119977 kodlu açığın sömürüldüğünü doğruladı ve açığı KEV kataloğuna ekledi. Bu önemli, çünkü saldırı için sitede bir hesap gerekmiyor. WordPress siteleri yönetiyorsan bu güncellemeyi ertelememelisin.
Olaylara geçmeden önce birkaç terim. CVE, bilinen bir güvenlik açığını tanımlayan koddur. TOCTOU (time-of-check time-of-use), bir kaynağın kontrol edilmesi ile kullanılması arasında bir şeyin değişebildiği bir yarış koşuludur. RCE, uzaktan kod çalıştırma anlamına gelir. KEV, sömürüsü kanıtlanmış açıkların CISA kataloğudur. XSS stored, siteye kaydedilip ziyaretçilere sunulan kötü amaçlı bir betiktir.
CVE-2026-119977 açığı nedir?
Resmi WordPress duyurusuna göre, güncelleme sürecindeki bir zayıflık, yükseltme penceresi sırasında uzaktan kod çalıştırmaya yol açabiliyor. Bildirimi Picus Security araştırmacısı Umut Bayram yaptı.
BleepingComputer'ın aktardığına göre sorun, tam çekirdek güncellemeleri sırasında web'den erişilebilen tahmin edilebilir hazırlık (staging) yollarının kullanılmasından kaynaklanıyor. The Hacker News'e göre CVSS puanı 8.1 ile ciddiyet yüksek, ancak saldırının karmaşıklığı da yüksek.
Gerçekte ne kadar sömürülüyor?
CISA, açığı KEV kataloğuna ekledi ve sivil federal kurumlara 6 Kasım 2026'ya kadar düzeltme yapmalarını emretti. Ajans, özel şirketlere de yamaya öncelik vermeleri çağrısında bulundu.
Rakamlar Wordfence'ten geliyor, yani bir güvenlik şirketinin açıklamaları. BleepingComputer 24 saatte engellenen 13.095 saldırı bildiriyor. The Hacker News ilk 21 saatte "setup-config.php" yollarına yapılan 18.500'den fazla istek ile başka bir 24 saatlik pencerede engellenen 12.632 saldırıdan söz ediyor. Previdian, 30 Ekim'de honeypot'una karşı üç deneme kaydetti.
WordPress 7.1.4 başka neleri düzeltiyor?
Sürüm yalnızca yükseltmeyle ilgili değil. Resmi listede, çekirdek blok ve işlevlerindeki birkaç XSS stored açığı yer alıyor.
- Categories bloğu, Playlist ve görsel blokları, yorum sayfalandırma blokları
- Interactivity API, birden fazla XSS ve bir hizmet reddi durumu
- Customizer, bir XSS ve anonim kullanıcıların yayımlanmamış changeset'leri görebilmesi
- kişisel veri silme istekleri ve özel olarak hazırlanmış kullanıcı adları
Ayrıca düzenleme yetkisi olmayan ayrıcalıklı kullanıcıların notları okuyabilmesi sorunu ve eMudhra'nın iptali nedeniyle güncellenen kök sertifikalar da düzeltildi.
WordPress çekirdeği için 2026 neden zor bir yıl?
BleepingComputer'a göre Temmuz'da güvenlik ekibi, REST API toplu yollarındaki bir karışıklık (CVE-2026-63030) ile bir SQL injection (CVE-2026-60137) içeren wp2shell zincirini düzeltti. Herkese açık exploitler yamadan bir gün sonra ortaya çıktı.
Eylül'de Çince konuşan bir aktör bu zinciri, küçük işletmeler ve kamu kuruluşlarına ait 18.500'den fazla veritabanı kaydından veri çalmak için kullandı. Bu örnek, yama ile saldırı arasındaki sürenin ne kadar kısa olabileceğini gösteriyor. Konuya daha derinlemesine bakmak istersen, WordPress güvenlik rehberimiz temel savunma yöntemlerini anlatıyor.
Bilinmesi gereken sınırlar
Saldırıların arkasında kimin olduğunu ve kaç sitenin ele geçirildiğini bilmiyoruz. CISA sömürü hakkında ayrıntı vermedi; engellenen saldırı verileri Wordfence'ten geliyor ve kaynaklar farklı zaman aralıkları kullanıyor. 4.7'ye kadar olan eski dallar için düzeltmeler hâlâ yolda ve hazır oldukça yayımlanacak.
Dijital alanda çalışanlar için ne değişiyor
Otomatik güncellemeler henüz başlamadıysa, Panel'deki Güncellemeler bölümünden hemen 7.1.4 sürümüne geç. Bir prosedürün yoksa, siteyi bozmadan güncelleme stratejimiz iyi bir başlangıç noktası. Müşteriler için çok sayıda site yönetiyorsan, unuttukların da dahil hepsini kontrol et. Güvenlik eklentileri rehberinde karşılaştırılan bir güvenlik duvarı yardımcı olur, ama yamanın yerini tutmaz.
Bizim görüşümüz
En rahatsız edici kısım, açığın tam da kendini koruma mekanizmasını hedeflemesi. Güncelleme bir savunmadır, ama güncelleme sırasında risk penceresi açılır. Olumlu olan, güvenlik ekibinin hızlı tepkisi. Olumsuz olan ise 2026'nın temposu – Temmuz'da bir exploit zinciri, Ekim'de başka bir sömürülen açık. Güncellemeleri boş zamanda yapılacak bir iş gibi gören, sayılara karşı bahse giriyor.
Sık sorulan sorular
WordPress 7.1.4 neyi düzeltiyor?
Güncelleme sürecinde bir kod çalıştırma açığını ve birkaç XSS stored açığını düzeltiyor. Ayrıca bir hizmet reddi (denial of service) durumunun düzeltmesini ve kök sertifikaların güncellemesini içeriyor.
CVE-2026-119977 açığı için hesap gerekiyor mu?
Hayır. Kaynaklarda aktarılan Wordfence'e göre hesap gerekmiyor. Ancak saldırganın çekirdeğin tam güncellemesi sırasındaki kısa bir pencereyi kullanması gerekiyor.
WordPress 7.2 ne zaman çıkıyor?
8 Aralık için planlanıyor. Beta 3 şimdiden kullanılabilir durumda ve uygulanabilir düzeltmeleri içeriyor.
Eski sürümler de yama alıyor mu?
Kısmen evet. Düzeltmeler uygun tüm dallara 4.7'ye kadar geriye taşınıyor ve hazır olduklarında yayımlanacak. WordPress, yalnızca en son sürümün aktif olarak desteklendiğini hatırlatıyor.
CISA kuralı Türkiye'deki şirketler için de geçerli mi?
Hayır, 6 Kasım tarihi yalnızca ABD federal kurumlarını kapsıyor. Ancak CISA özel sektörü de yamaya öncelik vermeye çağırıyor.
WordPress'te önümüzdeki haftalarda nelere bakmalısın
Yama hazır, ama dikkat şimdi eski dallara ve 7.2 beta sürümüne kayıyor. En riskli dönem, exploitin dolaştığı ve sitelerin henüz güncellenmediği zamandır.
- Hâlâ kullandığın eski sürümler için geriye taşınan düzeltmelerin gelip gelmediğini kontrol et ve geçişi planla.
- Sunucu günlüklerinde setup-config.php gibi kurulum yollarına yapılan isteklere bak.
- 8 Aralık'ta çıkacak 7.2 ve Beta 3 notlarını, üretim ortamında güncellemeden önce takip et.
