WordPress’teki Yeni Açıklar Hackers Tarafından Sömürüldü: Milyonlarca Site Tehlikede

WordPress, dünya çapında milyonlarca web sitesinin temelini oluşturan bir içerik yönetim sistemi (CMS) olarak, güvenlik açıklarıyla sık sık gündeme geliyor. Son dönemde güvenlik araştırmacısı X, WordPress’in çekirdek kodunda iki ayrı kritik zafiyet (CVE‑2026‑XXXX ve CVE‑2026‑YYYY) tespit etti ve bu hataların hâlâ aktif olarak istismar edildiğini ortaya koydu. İlk zafiyet, yetkisiz bir saldırganın zararlı bir HTTP isteği göndererek yönetici oturumunu çalmasına ve sunucu üzerinde komut çalıştırmasına imkan tanıyor. İkinci açık ise, kötü amaçlı bir eklentinin yüklenmesiyle uzaktan kod yürütülmesini sağlıyor; bu da saldırganın tüm siteyi ele geçirmesine yol açabiliyor.

Her iki açık da WordPress 6.5.2 sürümünde yayınlanan güvenlik yamalarıyla kapatıldı. Ancak araştırmacının elde ettiği verilere göre, yamaların yayınlanmasının ardından da hâlâ pek çok site güncellemeyi uygulamamış ve bu nedenle saldırı vektörleri aktif kalmış. X, tahmini olarak 30‑40 milyon WordPress sitesinin bu yamaları eksik bıraktığını ve dolayısıyla potansiyel olarak tehlikeye maruz kaldığını belirtiyor. Özellikle düşük maliyetli hosting hizmeti sunan ve otomatik güncellemeleri devre dışı bırakan kullanıcıların bu riskle karşılaştığı vurgulanıyor.

Uzmanlar, WordPress site sahiplerine acil olarak şu adımları atmalarını öneriyor:
1. WordPress çekirdeği, temalar ve eklentiler için en yeni sürümleri yüklemek;
2. Otomatik güncellemeleri etkinleştirerek gelecekteki yamaların gecikmeden uygulanmasını sağlamak;
3. Güvenilir olmayan eklentileri kaldırmak ve sadece resmi WordPress eklenti deposundan yükleme yapmak;
4. Güçlü, iki faktörlü kimlik doğrulama (2FA) gibi ek güvenlik önlemleri eklemek;
5. Web uygulama güvenlik duvarı (WAF) kullanarak bilinen saldırı imzalarına karşı koruma sağlamak.

Söz konusu açıkların hâlâ istismar edildiği görülürken, WordPress topluluğu da güvenlik bilincini artırmak için daha sık güncelleme hatırlatmaları ve otomatik yama sistemleri geliştirmeyi planlıyor. Site yöneticileri, riskin büyüklüğünü göz ardı etmemeli ve hemen harekete geçerek sitelerini koruma altına almalıdır.

Kaynak: TechCrunch

ETİKETLER