CISA, WordPress Core Açığının Güncelleme Sırasında Aktif Olarak İstismar Edildiğini Doğruladı

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), WordPress Core'da tespit edilen yüksek önem dereceli bir güvenlik açığını Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna ekledi. Ajans, açığın aktif olarak istismar edildiğine dair somut kanıtlara sahip olduğunu açıkladı. CVE-2026-119977 olarak izlenen ve CVSS puanı 8.1 olan bu açık, etkilenen sunucularda yetkisiz kod yürütülmesine zemin hazırlıyor.

Açık Nedir ve Nasıl Çalışıyor?​

Güvenlik açığı, teknik olarak "Time-of-check Time-of-use" (TOCTOU) yarış koşulu olarak sınıflandırılıyor. CISA'nın açıklamasına göre WordPress Core, tam paket çekirdek güncellemeleri sırasında tahmin edilebilir ve web üzerinden erişilebilir geçici yollar kullanıyor. Bu durum, güncelleme penceresi açıkken kimlik doğrulaması yapılmamış saldırganların sunucuda kod çalıştırmasına imkân tanıyor.
WordPress güvenlik şirketi Wordfence, açığın ayrıntılarını geçen hafta kamuoyuyla paylaştı. Wordfence'e göre bu açıktan yararlanmak için sitede bir hesaba sahip olmak gerekmiyor; ancak saldırının başarıya ulaşması, tam bir Core güncellemesi sırasında ortaya çıkan kısa zaman diliminin yakalanmasına bağlı. Yama ise geçen ayın sonlarında yayımlandı.

Kamuoyuna Duyurulmasının Ardından Saldırı Sayısı Hızla Arttı​

Wordfence, açığın kamuoyuna duyurulmasının ardından ilk 21 saat içinde "setup-config.php" yükleyici yollarını hedef alan 18.500'den fazla istek kaydettiğini bildirdi. Şirketin verilerine göre haberin yazıldığı sırada son 24 saat içinde bu açığı istismar etmeye çalışan 12.632 saldırı engellendi.
Previdian'ın telemetri verilerine göre ise Birleşik Krallık'ta coğrafi olarak konumlandırılmış bir IP adresinden şirketin bal küpü sensörlerine yönelik üç istismar girişimi kaydedildi. Bu istismar olaylarının 30 Ekim 2026 tarihinde gerçekleştiği belirlendi.

Federal Kurumlar İçin Son Tarih: 6 Kasım 2026​

CISA'nın açığı KEV kataloğuna eklemesiyle birlikte Federal Sivil Yürütme Organı (FCEB) kurumlarına yamaları uygulamaları için 6 Kasım 2026 tarihine kadar süre tanındı. Bu adım, açığın yalnızca teorik bir tehdit olmadığını, gerçek saldırılarda fiilen kullanıldığını resmi olarak tescilledi.

Sıkça Sorulan Sorular​

CVE-2026-119977 nedir ve hangi sistemi etkiliyor?​

CVE-2026-119977, WordPress Core'da bulunan bir TOCTOU (Time-of-check Time-of-use) yarış koşulu güvenlik açığıdır. CVSS puanı 8.1 olan bu yüksek önem dereceli açık, tam paket çekirdek güncellemeleri sırasında kimlik doğrulaması yapılmamış saldırganların sunucuda kod çalıştırmasına olanak tanıyor.

Saldırganların bu açıktan yararlanabilmesi için ne gerekiyor?​

Wordfence'e göre saldırganların sitede herhangi bir hesaba sahip olması gerekmiyor. Ancak açığın başarıyla istismar edilebilmesi için saldırganın, tam bir WordPress Core güncellemesi sırasında ortaya çıkan kısa zaman dilimini yakalaması gerekiyor.

Açık kamuoyuna duyurulduktan sonra kaç saldırı girişimi kaydedildi?​

Wordfence, açığın kamuoyuna duyurulmasının ardından ilk 21 saat içinde 18.500'den fazla istek kaydettiğini açıkladı. Haberin yazıldığı sırada ise son 24 saat içinde 12.632 saldırı girişiminin engellendiği bildirildi.

CISA bu açığı neden KEV kataloğuna ekledi?​

CISA, açığın aktif olarak istismar edildiğine dair kanıtlara dayanarak CVE-2026-119977'yi Bilinen İstismar Edilen Güvenlik Açıkları kataloğuna ekledi. Bu katalog, gerçek saldırılarda kullanıldığı doğrulanan açıkları takip etmek amacıyla tutulmaktadır.

Federal kurumların yamayı uygulaması için ne kadar süresi var?​

CISA, Federal Sivil Yürütme Organı (FCEB) kurumlarına ilgili yamaları uygulamaları için 6 Kasım 2026 tarihine kadar süre tanıdı.