- Katılım
- 27 Haz 2025
- Mesajlar
- 214
- Tepkime puanı
- 7
- Puanları
- 18
#288’de WordPress 7.1.4 güvenlik sürümünü ve güncelleme penceresindeki RCE zayıflığını konuşmuştuk. Yeni gelişme: ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA),
Ziyaretçiler için gizlenmiş link,görmek için
Giriş yap veya üye ol.
CVE-2026-119977 numaralı WordPress Core açığını Known Exploited Vulnerabilities (KEV) kataloğuna ekledi. Yani artık yalnızca “yama çıktı” değil; aktif istismar kanıtı var deniyor. Siten hâlâ 7.1.4’ün altındaysa bu konuyu erteleme.
KEV’e eklenen açık hangisi?
- CISA kaydının adı: WordPress Core Time-of-check Time-of-use (TOCTOU) Race Condition Vulnerability — CVE-2026-119977.
- WordPress’in
Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.duyurusunda bu zayıflık, tam paket çekirdek yükseltmesi sırasında oluşan ve uzaktan kod çalıştırmaya yol açabilen bir sorun olarak tanımlanmıştı; düzeltme 7.1.4 ile geldi.
- Kanada Siber Merkezi’nin
Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.bildirimi (3 Kasım 2026) de aynı CVE’nin KEV’e eklendiğini doğruluyor ve 7.1.4 öncesi WordPress Core sürümlerini etkiliyor diye özetliyor.
CISA ne istiyor, senin için anlamı ne?
- KEV kataloğu, ABD federal kurumları için
Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.kapsamında öncelikli yama listesi. Bu direktif doğrudan Türkiye’deki özel siteleri bağlamaz.
- CISA yine de tüm kuruluşları KEV’deki açıkları risk temelli yönetmeye ve yamamaya teşvik ediyor.
- Pratik çeviri: Siten kamuya açıksa ve WordPress çekirdeğin 7.1.4’ün altındaysa, bu artık “ileride bakarım” işi değil; hemen güncelle + ele geçirilme izi ara.
Bugün yapman gerekenler
- Yönetim panelinde Başlangıç > Güncellemeler ile sürümü kontrol et. 7.1 dalındaysan hedef 7.1.4 (veya WordPress’in senin dalın için yayımladığı eşdeğer güvenlik sürümü).
- Güncellemeden önce yedek al. Güncelleme sonrası eklenti/tema uyumunu hızlıca gez.
- wp-content/upgrade klasöründe senin koymadığın PHP dosyası var mı bak. Olağan dışı yönetici hesabı, bilinmeyen eklenti veya değiştirilmiş çekirdek dosya görürsen hosting desteği / güvenlik taraması çağır.
- Ayrıntılı adımlar ve Wordfence laboratuvar notları için #288 hâlâ geçerli; bu konu onun KEV / aktif istismar güncellemesi.
Türkiye notu
- CISA ve Kanada uyarıları küresel; Türkiye’ye özel bir USOM duyurusu bu metin yazılırken ayrıca doğrulanmadı. WordPress.org güncellemesi her dildeki site için geçerli.
- Hosting panelinde “otomatik güncelleme açık” görünse bile sürüm numarasını kendi gözünle doğrula.
Ek kontrol listesi
Bu bölüm resmî kaynak değil, kendi önerilerim:- Bakım modu + yedek sonrası güncelle; güncelleme penceresini kısa tut.
- WAF / güvenlik eklentisi kurallarını güncelle; yalnızca WAF’a güvenip çekirdeği eski bırakma.
- Ajans veya müşteri sitelerinde sürüm envanteri çıkar; 7.1.3 ve altını kırmızı işaretle.
- Şüphede tuz anahtarlarını, yönetici şifrelerini ve FTP/SFTP anahtarlarını döndür.
Kaynaklar:
Ziyaretçiler için gizlenmiş link,görmek için
Giriş yap veya üye ol.
,
Ziyaretçiler için gizlenmiş link,görmek için
Giriş yap veya üye ol.
,
Ziyaretçiler için gizlenmiş link,görmek için
Giriş yap veya üye ol.
,
Ziyaretçiler için gizlenmiş link,görmek için
Giriş yap veya üye ol.
,
Ziyaretçiler için gizlenmiş link,görmek için
Giriş yap veya üye ol.
, DGO #288 (6 Kasım 2026’da kontrol edildi)Senin WordPress sürümün şu an kaç? 7.1.4’e geçtikten sonra wp-content/upgrade klasöründe anormal bir şey gördün mü?
