WordPress ekibi 28 Ekim’de yayımladığı 7.1.4 sürümüyle çekirdekteki kritik bir açığı kapattı. CVE-2026-119977 olarak kayıtlı sorun, 4.7 sürümünden 7.1.3’e kadar tüm WordPress kurulumlarını etkiliyor. Güvenlik firması Wordfence, bu açığı hedefleyen 43.560 saldırı girişimini son 24 saatte engellediğini duyurdu.
Açık tam güncelleme anını hedefliyor
Sorunun kökü, WordPress’in tam paket çekirdek güncellemesi sırasında kullandığı geçici klasörlerde. Sistem, indirdiği dosyaları tahmin edilebilir ve web üzerinden erişilebilen yollara açıyor. Saldırgan, güncelleme penceresi açıkken bu yola kendi PHP dosyasını bırakıp çalıştırabiliyor. Bunun için panele giriş yapması gerekmiyor.
Wordfence açığı bir TOCTOU hatası olarak sınıflandırıyor: dosyanın yerleştirildiği an ile kontrol edildiği an arasındaki fark kötüye kullanılıyor. CVSS puanı 8.1. Saldırının tutması için güncelleme anının denk gelmesi gerektiğinden karmaşıklık yüksek, ancak deneme sayısı bir hayli fazla. Bu da saldırganların site site tarama yapıp şansını denediğini gösteriyor.
Hangi sürümler etkilendi
Açık, 4.7.0 ile 7.1.3 arasındaki tüm sürümlerde mevcut. Düzeltme 7.1.4 sürümünde. WordPress yalnızca en son sürümü desteklediği için eski dallara da yama taşıyor: 7.0.8, 6.9.11, 6.8.12, 6.7.11, 6.6.11, 6.5.14, 6.4.14, 6.3.14, 6.2.15, 6.1.16 ve 6.0.18 bunlardan bazıları. Daha eski dallar için de 4.7.39’a kadar inen yamalar hazırlanmış durumda.
7.1.4’te başka neler düzeldi
Bu sürüm yalnızca tek bir açığı kapatmıyor. Duyuruda 13 başlıkta düzeltme sıralanıyor. Blok işaretlemesiyle hazırlanan içerik üzerinden depolanan XSS, Interactivity API’de birden fazla depolanan XSS ve bir depolanan hizmet engelleme sorunu, Customizer selective refresh’te XSS, Kategoriler bloğunda XSS, hazırlanmış kullanıcı girişleriyle XSS, Çalma Listesi ve görsel bloklarında XSS, yorum sayfalama bloklarında XSS ile gizlilik veri silme taleplerinde XSS bunların arasında.
Ayrıca yayımlanmamış Customizer değişiklik setleri artık yetkisiz kullanıcılar tarafından görülemiyor. Bir nota bağlı yazıyı düzenleme yetkisi olmayan ayrıcalıklı kullanıcılar da o notu okuyamıyor. eMudhra sertifika iptali nedeniyle paket içindeki kök sertifikalar da güncellendi.
Çekirdekteki bu açığı Picus Security’den Umut Bayram bildirdi. WordPress güvenlik ekibi düzeltmeyi 7.2 Beta 3 sürümüne de ekledi.
Site sahipleri ne yapmalı
Yönetim panelinden Güncellemeler ekranına girip Şimdi Güncelle düğmesini kullanmak yeterli. Otomatik arka plan güncellemesi açık olan sitelerde yeni sürüm çoğu zaman kendiliğinden kuruldu. 7.0 dalında kalanlar 7.0.8 sürümüne geçmeli. Güncelleme sonrası sürüm numarasını kontrol etmekte fayda var, çünkü 7.1.4 altındaki her sürüm açık kalıyor.
7.1.4 kısa döngülü bir güvenlik sürümü. Yeni özellik getirmiyor, bu yüzden güncellemeyi ertelemek için teknik bir gerekçe yok. Kararlı 7.2 sürümü ise 8 Aralık’ta geliyor.
Deneyimini paylaş
Bir sorunun, farklı bir çözümün veya eklemek istediğin bir notun var mı? Giriş yapmadan da yazabilirsin.