WPML’de yaması olmayan 8.1’lik oturum açığı

WordPress sitelerinde en çok kullanılan çok dilli eklentilerden WPML’de kimlik doğrulamayı atlatan bir açık ortaya çıktı. Wordfence kaydına göre CVE-2026-76877 olarak izlenen sorun 4.9.7 ve öncesi sürümleri etkiliyor, CVSS puanı 8.1. Kötü tarafı şu: açık kamuya açıldığı halde yayımlanmış bir yama yok.

Açık, kurbanın çıkış anını bekliyor

Sorun, WPML’in her dili ayrı alan adında yayınlayan sitelerde kullandığı oturum köprüsünde, yani process_iframe_request fonksiyonunda. Eklenti, çıkış sayfasında wp_create_nonce(‘wpml_sso’) ile alan adları arası giriş jetonu üretiyor. Ama o anda tarayıcı oturum çerezlerini çoktan sildiği için fonksiyon boş dize dönüyor ve jeton, kullanıcıya bağlı bir sır olmaktan çıkıp 12 saatlik dilimde herkesin hesaplayabileceği ortak bir değere dönüşüyor. Jeton daha sonra kurbanın kullanıcı kimliğiyle eşleştirilip geçici kayda yazılıyor; hangi çıkış işlemine ya da hangi istemciye ait olduğunu ayıran bir bağ yok.

Saldırganın yapması gereken tek şey wp-login.php?action=logout adresindeki çıkış akışını kendisi tetikleyip aynı jetonu hesaplamak. Ardından 60 saniyelik SSO penceresi dolmadan ikinci dil alanına wpml_sso_token_domain parametresiyle “oturum açık” durumunu gönderiyor. Gerçek çıkış iframe’i çalışmadan önce WordPress, kurban adına oturum çerezi dağıtıyor. Yani saldırı, hedefin o sırada çıkış yapıyor olmasına bağlı; CVSS tarafında karmaşıklığın “yüksek” işaretlenmesinin nedeni bu.

Hedef yönetici hesabıysa risk büyük

Etkilenen sürüm aralığı 4.9.7 ve altı. Açık, oturum açmış her kullanıcıyı hedef alabiliyor; kurbanın site yöneticisi olması durumunda saldırganın eline geçen şey sitenin tam kontrolü oluyor. Tema ve eklenti yükleme, içerik değiştirme, yeni yönetici hesabı açma gibi işlemlerin hepsi bu oturumla yapılabilir. Restore edilmiş eski yedekler, eklentiyi yıllardır güncellemeyen siteler ve birden fazla dil alan adıyla çalışan kurumsal siteler bu tabloda en kırılgan grup.

Wordfence, açığın yalnızca dil başına ayrı alan adı ve SSO köprüsü kurulumu devredeyken çalıştığını aktarıyor. Tek alan adında, alt dizin tabanlı çok dillilik kullanan sitelerde bu kod yolu devreye girmiyor. Yine de sürüm numarası 4.9.7 ve altında olan her kurulumun eklenti ayarlarını kontrol etmesinde fayda var.

Yama yok, geçici önlemler var

Wordfence’in kaydında eklenti için “yama yok” notu düşülmüş; öneri, risk toleransına göre önlem almak ve gerekirse eklentiyi kaldırıp yerine alternatif aramak. Uygulanabilir adımlar şöyle:

• Eklentiyi geçici olarak devre dışı bırakın. Site tek dilde yayın yapıyorsa bu kalıcı çözüm olabilir.
• Çok dilli yapı şartsa, dil başına ayrı alan adı ve alanlar arası oturum köprüsü ayarını kapatın.
• Yönetici hesaplarının şifresini değiştirin ve açık oturumları sonlandırın; böylece olası bir jeton ele geçirme işe yaramaz.
• Giriş kayıtlarında tanımadığınız IP adreslerinden gelen yönetici oturumlarını arayın.
• wpml.org duyurularını izleyin; düzeltme sürümü çıktığında hemen uygulayın.

WordPress tarafında eklenti kaynaklı kimlik doğrulama açıkları son aylarda art arda geldi. WooCommerce eklentilerindeki 9.8’lik açık ve LatePoint’teki hesap ele geçirme sorunu da aynı deseni izliyordu. Kullanılmayan eklentilerin kaldırılması, kullanılanların da sürüm takibinin yapılması bu tür haberlerin ardından en hızlı kazanç sağlayan adım oluyor.

Kaynak: Wordfence · CVE-2026-76877