ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), 3 Kasım’da WordPress çekirdeğindeki CVE-2026-119977 açığını istismar edilen açıklar kataloğuna (KEV) ekledi. CISA bu kataloğa yalnız gerçek saldırılarda kullanıldığına dair kanıt bulunan açıkları alıyor. Açık, 28 Ekim’de yayımlanan WordPress 7.1.4 sürümüyle kapatıldı.
Ne oldu
Açık, WordPress’in çekirdek güncelleme sürecinde bulunuyor. CVE kaydına göre tam paketle yapılan çekirdek güncellemelerinde geçici kurulum dosyaları tahmin edilebilir ve dışarıdan erişilebilir bir konumda duruyor. Kimliği doğrulanmamış bir saldırgan, güncellemenin sürdüğü kısa pencere içinde bu durumdan yararlanarak sunucuda kod çalıştırabiliyor. CVE kaydı ve CISA kataloğu hatayı, kontrol ile kullanım arasındaki zaman farkından doğan yarış durumu (CWE-367) olarak sınıflandırıyor. WordPress’in duyurusu ise açığı güncelleme sürecinde, güncelleme penceresi sırasında uzaktan kod çalıştırma olarak tanımlıyor.
Kaydı WordPress açıkları için CVE numarası veren Wordfence 31 Ekim’de yayımladı ve CVSS 3.1’e göre 8,1 (yüksek) puan verdi. Saldırı ağ üzerinden, kimlik bilgisi ya da kullanıcı etkileşimi gerektirmeden yapılabiliyor. Ancak saldırganın güncelleme penceresini yakalaması gerektiği için saldırı karmaşıklığı “yüksek” olarak puanlanmış. Açığı Umut Bayram bildirdi.
CISA kataloğa eklerken ABD federal kurumlarına açığı kapatmaları için 6 Kasım’a kadar süre verdi. Açığın fidye yazılımı saldırılarında kullanılıp kullanılmadığı katalogda “bilinmiyor” olarak geçiyor.
Kimleri etkiler
CVE kaydına göre WordPress’in 4.7 ile 7.1.3 arasındaki tüm sürümleri etkileniyor. Kayıtta her dal için ayrı bir aralık veriliyor; örneğin 7.0 dalında 7.0.0–7.0.7, 7.1 dalında 7.1.0–7.1.3 sürümleri açığı taşıyor. Açık yalnız WordPress çekirdeğiyle ilgili; eklenti ya da tema açığı değil.
WordPress 7.1.4 bu açığın yanında başka güvenlik düzeltmeleri de içeriyor. Bunların çoğu, özel hazırlanmış içerikle tetiklenen depolanmış XSS açıkları.
Üretici ne öneriyor
WordPress, sitelerin hemen güncellenmesini öneriyor. Güncelleme yönetim panelindeki Güncellemeler ekranından ya da WordPress.org’dan indirilerek yapılabiliyor. WordPress’in duyurusuna göre otomatik arka plan güncellemesi açık olan sitelerde güncelleme kendiliğinden başlıyor.
Güvenlik düzeltmeleri, güvenlik desteği süren 4.7’ye kadarki tüm dallara geri taşınıyor. WordPress bu eski dal güncellemelerinin dağıtımının sürdüğünü, etkin olarak desteklenen sürümün ise yalnız en son sürüm olduğunu belirtiyor.
CISA da üreticinin talimatlarına göre önlem alınmasını, önlem yoksa ürünün kullanımının bırakılmasını istiyor.
