CISA, WordPress açığının saldırılarda kullanıldığını söylüyor

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), saldırganların WordPress Core'da yakın zamanda yamalanan, yüksek önem dereceli bir güvenlik açığından yararlandığını söylüyor. CVE-2026-119977 olarak izlenen açık, kontrol zamanı ile kullanım zamanı (TOCTOU) yarış durumundan kaynaklanıyor. Açığı Picus Security araştırmacısı Umut Bayram bildirdi.

Başarılı bir saldırı, uzaktaki saldırganların herhangi bir ayrıcalıkları olmadan sunucuda kod çalıştırmasına olanak tanıyabilir. Saldırılar yüksek karmaşıklıkta ve tam paketli çekirdek yükseltmeleri sırasında kullanılan, web üzerinden erişilebilen öngörülebilir hazırlık yollarına dayanıyor. WordPress güvenlik ekibi, sorunu yükseltme penceresinde uzaktan kod çalıştırmaya yol açabilecek bir zayıflık olarak tanımladı. Ekip, açığı yamamak için 28 Ekim'de WordPress 7.1.4'ü yayımladı ve site yöneticilerine hemen güncelleme yapmalarını önerdi.

CISA, Salı günü aktif istismarı doğruladı ve açığı Known Exploited Vulnerabilities (KEV) Catalog'a ekledi. Binding Operational Directive (BOD) 26-04 kapsamında Federal Civilian Executive Branch (FCEB) kurumlarına sistemlerini Cuma gününe kadar güvenceye almaları talimatını verdi. CISA, özel sektördekiler de dahil ağ savunucularını yamayı önceliklendirmeye çağırdı. Ajans saldırılarla ilgili başka ayrıntı paylaşmadı.

WordPress güvenlik şirketi Wordfence, hafta sonu yayımladığı bir danışma güncellemesinde son 24 saatte açığı hedef alan 13.095 saldırıyı engellediğini söyledi.

Bu olay, WordPress Core'daki diğer güvenlik olaylarının ardından geldi. Güvenlik ekibi Temmuz ayında CVE-2026-63030 ve CVE-2026-60137'yi içeren wp2shell güvenlik açığı zincirine yama yayımladı. Yamaların yayımlanmasından bir gün sonra herkese açık istismar kodları çıktı; saldırganlar birkaç gün sonra yamalanmamış sunuculara sızmaya başladı. Eylül ayında Çince konuşan bir tehdit aktörü, zinciri kullanarak küçük işletmelere ve devlet kuruluşlarına ait veritabanlarında bulunan 18.500'den fazla kayıttaki hassas verileri çaldı.