WordPress, sitelerin ele geçirilmesine yol açan kritik açığı yamadı

WordPress, Cuma günü acil güvenlik güncellemeleri yayınlayarak, anonim bir saldırganın tek bir HTTP isteğiyle herhangi bir varsayılan WordPress kurulumunda tam kontrol sağlamasına izin veren kritik bir kimlik doğrulama öncesi uzaktan kod yürütme (RCE) açığını kapattı.

Açık Hakkında

17 Temmuz 2026'da yayınlanan 7.0.2 ve 6.9.5 sürümleri, CVE-2026-63030 olarak izlenen ve keşfeden araştırmacılar tarafından "wp2shell" olarak adlandırılan kusuru ele alıyor. Açık, REST API toplu istek rota karmaşasını SQL enjeksiyonu ile birleştirerek kimlik doğrulaması gerektirmeyen RCE'ye (web açıklarının en şiddetli sınıfı) ulaşıyor; bu işlem giriş, özel yapılandırma veya eklenti gerektirmiyor.nebula+3

Bu hata, WordPress 6.9.0 ile 6.9.4 ve 7.0.0 ile 7.0.1 arasındaki sürümleri etkiliyor. İlgili ancak daha az şiddetli bir SQL enjeksiyon sorunu olan CVE-2026-60137, 6.8'den itibaren olan sürümleri etkiliyor ve 6.8.6 sürümünde yamandı. 6.8'den önceki sürümler her iki sorundan da etkilenmiyor.aikido+2

Cloudflare ↘ 10.51% tarafından Cuma günü yayınlanan bir blog yazısına göre, RCE "kalıcı bir nesne önbelleği kullanılmadığında" istismar edilebiliyor; bu durum çoğu standart WordPress kurulumu için geçerli. WordPress güvenlik ekibi, açıkları halka açık sürümden önce Cloudflare'e bildirdi, bu da şirketin 17:03 UTC'de WAF korumalarını devreye almasını sağladı.cloudflare

Azaltma ve Müdahale

WordPress.org, etkilenen siteler için zorunlu otomatik güncellemeleri etkinleştirdi, ancak otomatik güncellemelerin devre dışı bırakıldığı veya sürüm kontrollü ortamlarda yama otomatik olarak uygulanmayabilir. Resmi WordPress sürüm notunda bu durum, organizasyonun "en yüksek şiddetli, en yüksek öncelikli sorun sınıfı" olarak adlandırıldı.wordpress+2

Hemen yama yapamayan siteler için güvenlik ekiplerine, hem `/wp-json/batch/v1` yolunu hem de `?rest_route=/batch/v1` sorgu dizesi biçimini WAF düzeyinde engellemeleri tavsiye ediliyor. Sadece güzel kalıcı bağlantı yolunu engellemek, alternatif rotayı açık bırakır.nebula+1

Açık Kaynak Paradoksu

WordPress açık kaynaklı olduğu için, halka açık sürüm arşivi yamayı ve dolayısıyla hataya giden yolu hem savunucular hem de saldırganlar için aynı anda erişilebilir kılıyor. Açıklama anında herhangi bir istismar bildirilmedi, ancak güvenlik araştırmacıları temel RCE açıkları söz konusu olduğunda "saatlerin günlerden daha önemli olduğunu" belirtti. WordPress tüm web sitelerinin yaklaşık yüzde 40'ına güç veriyor, bu da yama kullanılabilirliği ile yaygın benimseme arasındaki süreyi yamalanmamış kurulumlar için ciddi bir risk dönemi haline getiriyor.nebula