CISA, WordPress Çekirdeğindeki Güvenlik Açığının Aktif Olarak İstismar Edildiğini Doğruladı

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), WordPress Core'da keşfedilen yüksek önem dereceli bir güvenlik açığını Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna ekledi. Ajans, açığın aktif saldırılarda kullanıldığına dair kanıtlara sahip olduğunu açıkladı. CVE-2026-119977 olarak izlenen ve CVSS puanı 8,1 olan bu açık, WordPress'in tam paket çekirdek güncellemeleri sırasında kimlik doğrulaması yapılmamış saldırganların sunucu üzerinde rastgele kod çalıştırmasına olanak sağlıyor.

Açığın Teknik Yapısı: TOCTOU Yarış Koşulu​

Güvenlik açığı, "Time-of-Check Time-of-Use" (TOCTOU) yarış koşulu olarak sınıflandırılıyor. CISA'nın açıklamasına göre sorun, tam paket çekirdek güncellemeleri sırasında kullanılan hazırlık (staging) dizin yollarının tahmin edilebilir ve web üzerinden erişilebilir olmasından kaynaklanıyor. Bu yapı, saldırganların güncelleme penceresi açıkken sisteme müdahale etmesine zemin hazırlıyor.
CISA konuya ilişkin şu ifadeyi kullandı: "WordPress Core, tam paket çekirdek güncellemeleri sırasında kimlik doğrulaması yapılmamış saldırganların sunucuda kod yürütmesine izin verebilecek bir TOCTOU yarış koşulu güvenlik açığı içermektedir. Bu durum, tam paket çekirdek güncellemeleri sırasında kullanılan tahmin edilebilir ve web'den erişilebilir hazırlık yollarından kaynaklanmaktadır."

Wordfence Verileri: İlk 21 Saatte 18.500'den Fazla İstek​

Açığın teknik ayrıntıları geçen hafta WordPress güvenlik şirketi Wordfence tarafından kamuoyuyla paylaşıldı. Şirket, açığı kullanabilmek için sitede bir hesaba sahip olmanın gerekmediğini, ancak saldırının tam çekirdek güncellemesi sırasında oluşan kısa bir zaman dilimine denk getirilmesi gerektiğini vurguladı.
Wordfence'in aktardığı verilere göre, açığın kamuoyuna duyurulmasının ardından geçen ilk 21 saat içinde hazırlık aşamasındaki "setup-config.php" yükleyici yollarını hedef alan 18.500'den fazla istek kayıt altına alındı. Şirket ayrıca haberin yazıldığı sırada son 24 saat içinde açığı kullanmaya yönelik 12.632 saldırı girişiminin engellendiğini bildirdi.

Previdian Tuzak Sunucusundan Gelen Bulgular​

Previdian'ın telemetri verilerine göre şirketin bal küpü (honeypot) sensörlerine karşı coğrafi olarak Birleşik Krallık'a konumlandırılmış bir IP adresinden üç ayrı istismar girişimi kaydedildi. Bu istismar olaylarının 30 Ekim 2026 tarihinde gerçekleştiği belirtildi.
Açığa yönelik yamalar geçen ayın sonlarında yayımlandı. CISA'nın KEV kataloğuna eklenmesiyle birlikte Federal Sivil Yürütme Organı (FCEB) kurumlarına yamaları uygulamaları için 6 Kasım 2026 tarihine kadar süre tanındı.

Sıkça Sorulan Sorular​

CVE-2026-119977 nedir ve hangi sistemleri etkiliyor?​

CVE-2026-119977, WordPress Core yazılımında tespit edilmiş yüksek önem dereceli (CVSS puanı: 8,1) bir güvenlik açığıdır. TOCTOU yarış koşulu türünde olan bu açık, tam paket çekirdek güncellemeleri sırasında kimlik doğrulaması yapılmamış saldırganların sunucuda rastgele kod çalıştırmasına imkân tanıyabilmektedir.

Saldırganlar bu açığı kullanmak için bir kullanıcı hesabına ihtiyaç duyuyor mu?​

Hayır. Wordfence'in aktardığı bilgilere göre açığı istismar etmek için sitede bir hesaba sahip olmak gerekmiyor. Ancak saldırının başarılı olabilmesi için tam çekirdek güncellemesi sırasında oluşan kısa zaman dilimine denk getirilmesi gerekiyor.

Kamuoyuna duyurulmasının ardından ne kadar saldırı girişimi kaydedildi?​

Wordfence verilerine göre açığın kamuoyuna duyurulmasının ardından ilk 21 saat içinde "setup-config.php" yükleyici yollarını hedef alan 18.500'den fazla istek tespit edildi. Haberin yazıldığı sırada ise son 24 saat içinde 12.632 saldırı girişiminin engellendiği bildirildi.

FCEB kurumlarının yamayı uygulaması için son tarih nedir?​

CISA'nın açıklamasına göre Federal Sivil Yürütme Organı (FCEB) kurumlarının ilgili yamayı uygulaması için belirlenen son tarih 6 Kasım 2026'dır.

Previdian'ın bal küpü sensörlerinde ne tür bulgulara ulaşıldı?​

Previdian'ın telemetri verilerine göre şirketin bal küpü sensörlerine yönelik, coğrafi olarak Birleşik Krallık'a konumlandırılmış bir IP adresinden üç istismar girişimi kaydedildi. Bu olayların 30 Ekim 2026 tarihinde gerçekleştiği belirtildi.