WordPress’teki Kritik Açık: Yama Sürümü Sırasında Zaman Geçici Tehlike

WordPress sitesine güvenlik yaması kurulması sırasında ortaya çıkan geçici bir güvenlik açığı, aktif olarak istismar edilen CVE-2026-119977 ile ilişkili kritik bir risk taşımaktadır. Picus Security araştırmacısı Umut Bayram, bu zafiyetle uğraşan sitelerin güncelleme işlemi sırasında saldırıya maruz kalabileceğini belirtiyor.

Güncelleme İşlemindeki Zayıf Nokta​

Sorun, WordPress sitelerine yama kurmak için kullanılan güncelleme paketinin, sitenin hâlâ yamalanmamış eski kodunu kullanmasıyla başlıyor. Eski kod, yeni sürümün kurulumu sırasında oluşturulan geçici klasörün adını tahmin edilebilir şekilde belirliyor. Saldırgan, bu geçici klasöre erişerek WordPress kurucusunu çalıştırabilir ve sunucuda kod yürütebilir.

Yamalar ve Etkilenen Sürümler​

WordPress 4.7 ile 7.1.3 arasındaki sürümleri etkileyen bu açık, geçtiğimiz hafta yayınlanan 7.1.4 sürümüyle tamir edildi. Daha eski dallar için de uygun güvenlik yamaları hazırlandı. Eski kodla isimlendirilen bu klasör, yamanın kendisiyle birlikte tamamlanacak şekilde tasarlandı; ancak yama uygulamada kullanılacak kodun güncel olması, kurulum sırasında oluşan geçici klasörün adını rastgele kılmak için şart koşuldu.

Önerilen Önlemler​

Umut Bayram, yama uygulamadan önce web sunucusunun wp-content/upgrade dizinine erişimini engellemeyi öneriyor. Nginx, Apache veya .htaccess yapılandırmasında bu dizin 403 hatası verilecek şekilde kilitlemelidir. Web sunucunun bu klasöre erişimini bloke etmek, WordPress'in kendisini bozmayacak, ancak kurulum sırasında oluşturulan geçici klasöre erişimi alıp çıkırtacak. Bu işlem sayesinde, yamanın uygulanmasından sonra geçici klasörün adı tam olarak tahmin edilemez olur ve kurulum sürecindeki zafiyet giderilir.

Özel Durumlar​

Her güncelleme paketi bu açıkta risk taşımıyor. Sadece tam paket içeriklerinde kurulum dosyaları varken, belirli bir sürümden gelen geçici güncelleme paketleri bazen kurulumu içeriyor olabilir. WordPress, sitenin dosyaları resmi onay kodlarıyla örtüşmüyor veya güncelleme yeniden kurulum yaparsa otomatik olarak tam pakete geri dönüyor. Araştırmacı, bu durumun “yalnızca kısmi güncelleme, tam güncelleme” ile sınırlı kalmadığını, asıl belirleyici faktörün, sitede çalışan güncel güncelleyici kodun yamalanıp yamalanmadığı olduğunu vurguluyor.

Sistemsel Kontrol Yöntemleri​

Wordfence, açığın yayımından birkaç dakika sonra siber saldırı girişimlerinin başladığını tespit etti. CISA, aktif istismar kanıtlarına dayanarak bu açığı bilinen istismar edilen güvenlik açıkları kataloguna ekledi. Araştırmacılar, Wordfence'ın açıklamasına göre iki yoğun kaynak yaklaşık 14,5 saat boyunca küçük grupları takip etti. Sistem sahipleri, WP-CLI üzerinden wp core update komutunu kullanırken, aynı güncelleyici mekanizmasını çalıştıracağı için özel koruma önlemlerini es geçmemeli. Bu açık, 2008'de WordPress 2.7 sürümünde ortaya çıktığından, desteklenen bir sürüme geçilmesi tavsiye ediliyor.

Sıkça Sorulan Sorular​

Yama uygulama işlemi sırasında neden bir açık oluşur?​

WordPress'in güvenlik yamasını kurmak için kullandığı güncelleyici kod, hâlâ yamalanmamış eski sürümü kullanarak geçici bir klasör yaratır. Bu klasörün adı eski kod tarafından tahmin edilebilir şekilde belirlenir; dolayısıyla saldırıya açık hale gelir.

Hangi WordPress sürümleri bu açıkla etkilenebilir?​

Open, 4.7'den 7.1.3'e kadar uzanan sürümler bu açıkla etkilenebilir. 7.1.4 ve sonrasındaki sürümler yamalıdır, ancak 4.6 ve öncesi desteklenmediğinden yama almayı bırakmıştır.

Yamayı uygulamadan önce hangi önlem alınmalı?​

Yamayı uygulamadan önce, web sunucunun wp-content/upgrade dizinine erişiminin engellenmesi öneriliyor. Nginx, Apache veya .htaccess yapılandırmasında bu dizin 403 hatası verilecek şekilde yapılmalıdır. Bu koruma, yama kurulumunu bozmadan geçici klasöre erişimi engeller.

Açığa uğrayan sitelerde ne kontrol edilmeli?​

Önerilen kontroller arasında beklenmedik PHP istekleri, tanınmayan yönetici hesapları ve bilinmeyen ekleri içeren WordPress dizinleri yer alıyor. Açığa geçen sitelerde bu işaretlerin kontrol edilmesi tavsiye edilir.

Ölçüm sonuçları açık hakkında ne söylüyor?​

Wordfence'ın testlerinde, açık penceresinin saniyeler içinde kapatıldığı gözlemlendi. CISA, aktif istismar kanıtlarına dayanarak bu açığı bilinen istismar edilen güvenlik açıkları kataloguna ekledi.