WordPress Core Açığı 24 Saatte 63 Bin Saldırı Girişimi Çekti

WordPress Core'da yüksek önem derecesine sahip bir güvenlik açığı, yamaların yayımlanmasının hemen ardından tehdit aktörlerinin radarına girdi. Wordfence'in paylaştığı verilere göre söz konusu açığa yönelik saldırı girişimleri, yalnızca 24 saatlik bir süre içinde 62.969'a ulaştı. Güvenlik şirketi bu girişimlerin tamamını engellediğini bildirdi.

Açık Nedir, Hangi Sürümleri Etkiliyor?​

Henüz bir CVE tanımlayıcısı atanmamış olan bu güvenlik açığı, WordPress Core'un 4.7 ile 7.1.3 arasındaki sürümlerini etkiliyor. CVSS puanı 8.1 olarak belirlenen açık, uzaktan kod çalıştırma (RCE) kategorisinde değerlendiriliyor. Yamalar 28 Ekim 2026 tarihinde yayımlandı; güncel ve güvenli sürüm 7.1.4 olarak belirlendi.
Wordfence'e göre açığın kökeni, tam paket çekirdek güncellemeleri sırasında kullanılan hazırlık dizinlerinin tahmin edilebilir ve web üzerinden erişilebilir olmasında yatıyor. Etkilenen sürümler, tam paket Core güncellemesi kapsamındaki yeni dosyaları wp-content/upgrade altındaki tahmin edilebilir bir dizine açıyor. Bu kopya, WordPress kurulum dosyasını da içeriyor.

Saldırı Nasıl Gerçekleşiyor?​

Wordfence Tehdit Müdahale Ekibi'ni yöneten Alex Thomas, açığın işleyişini şöyle özetledi: Hazırlık dizini pek çok sunucuda web üzerinden erişilebilir durumda olduğundan, kimlik doğrulaması gerektirmeyen bir saldırgan tam olarak doğru anda kurulum dosyasını talep ederse WordPress kopyasıyla etkileşime geçebiliyor ve PHP kod çalıştırma aşamasına ilerleyebiliyor.
Açığın başarıyla istismar edilebilmesi için birkaç koşulun aynı anda sağlanması gerekiyor: Kurulum dosyalarını içeren tam paket bir güncelemanın mevcut olması, hazırlık ağacına web ve PHP erişiminin açık bulunması, hazırlık dizin yolunun tahmin edilebilir ya da keşfedilebilir olması ve WordPress geçici dosyaları temizlemeden önce saldırıyı tamamlamaya yetecek sürenin bulunması. Tüm bu koşullar sağlandığında, yarış koşulunu kazanan tehdit aktörü sunucuda kod çalıştırma yetkisi elde edebiliyor.
Normal laboratuvar ortamlarında bu kritik pencerenin yalnızca birkaç saniye sürdüğü gözlemlense de saldırganlar, setup-config.php gibi savunmasız yolları defalarca sorgulayarak açığı tetiklemeye çalışıyor. Thomas, en büyük iki saldırı kaynağının yaklaşık 14,5 saat boyunca küçük site gruplarını düzenli aralıklarla yokladığını belirtti; bu davranışın kısa güncelleme penceresini yakalamaya yönelik olduğunu değerlendirdi. Diğer saldırı kaynaklarının ise çok sayıda hazırlık dizini ve sürüm adı varyasyonunu test ettiği görüldü.

Wordfence'in Tespitleri ve Saldırı Örüntüsü​

Thomas, her isteğin tam olarak savunmasız yolu kullanmadığını, ancak süregelen sorgulamalar ve kesin yerleşim düzeni yoklamalarının saldırganların yarış koşulunu hızla kavradığını ve hedeflemeye başladığını ortaya koyduğunu vurguladı. Saldırı örüntüsünün bu denli sistematik bir görünüm sergilemesi, tehdit aktörlerinin açığın teknik ayrıntılarına kısa sürede hâkim olduğuna işaret ediyor.

Site Sahiplerine Yönelik Uyarılar​

Aktif istismar girişimlerinin sürdüğü göz önünde bulundurulduğunda, WordPress site sahiplerinin bir an önce 7.1.4 sürümüne geçmesi kritik önem taşıyor. Bunun yanı sıra wp-content/upgrade altındaki PHP dosyalarına yönelik şüpheli isteklerin, tanınmayan yönetici hesaplarının, eklentilerin veya PHP dosyalarının da yakından incelenmesi öneriliyor.

Sıkça Sorulan Sorular​

Bu güvenlik açığı WordPress'in hangi sürümlerini etkiliyor?​

Açık, WordPress Core'un 4.7 ile 7.1.3 arasındaki sürümlerini etkiliyor. 7.1.4 sürümüyle birlikte yama yayımlandı.

Açığın CVSS puanı nedir ve bu ne anlama geliyor?​

Açığın CVSS puanı 8.1 olup bu değer, güvenlik açığının yüksek önem derecesine sahip olduğunu gösteriyor.

Saldırganlar açığı nasıl istismar etmeye çalışıyor?​

Saldırganlar, setup-config.php gibi savunmasız yolları defalarca sorgulayarak güncelleme sırasındaki kısa zaman penceresini yakalamaya çalışıyor. En büyük iki saldırı kaynağı bu yöntemi yaklaşık 14,5 saat boyunca sürdürdü.

Açığın başarıyla istismar edilmesi için hangi koşulların sağlanması gerekiyor?​

Başarılı bir istismar için kurulum dosyalarını içeren tam paket bir güncellemenin mevcut olması, hazırlık dizinine web ve PHP erişiminin açık bulunması, dizin yolunun tahmin edilebilir ya da keşfedilebilir olması ve WordPress geçici dosyaları temizlemeden önce saldırıya yetecek sürenin bulunması gerekiyor.

Wordfence 24 saatte kaç saldırı girişimini engelledi?​

Wordfence, 24 saatlik süre içinde bu açığı hedef alan 62.969 saldırı girişimini engellediğini açıkladı.