WordPress'te CVE-2026-87902 kodlu kritik açık kamuya açıklanmasının ardından saatler içinde aktif olarak sömürülmeye başlandı. Açık belirli ön koşullar sağlandığında kimliği doğrulanmamış saldırganların uzaktan kod çalıştırmasına izin veriyor. Güvenlik firmaları onlarca girişim tespit ederken yöneticilere acil güncelleme yapılması çağrısı yapıldı.
WordPress çekirdeğinde bulunan Comment2Shell açığı, anonim bir yorumla yerleştirilen gizli betiğin yönetici oturumunu kullanarak sunucuda kod çalıştırmasına olanak tanıyor. Açık CVE-2026-93485 olarak kayıt altına alındı ve 7.1.1 sürümüyle kapatıldı. Güncelleme yapılmayan siteler için yorumları kapatmak geçici önlem olarak öneriliyor.
WordPress 7.1.1 ile kapatılan Click2Shell zinciri, oturum açmış bir yöneticinin açtığı özel bir bağlantıyla resmi dizinden tema kurulumunu otomatikleştiriyor. Açık tek başına yüksek riskli olsa da, zayıf bir tema ile birleştiğinde sunucuda kod çalıştırma riski kritik seviyeye çıkıyor.
Siber güvenlik araştırmacıları, WordPress'in popüler eklentisi Elementor Pro'da bulunan ve uzaktan kod çalıştırmaya yol açabilen kritik bir zafiyeti detaylandırdı. CVE-2026-32475 kodlu açık, 4.2.1 ve önceki tüm sürümleri etkilerken, 19 Ağustos'ta yayınlanan yama ile giderildi.
Siber güvenlik araştırmacıları, çalıntı belgeleri depolamak için binlerce ele geçirilmiş WordPress sitesini kullanan StopAndProtect operasyonunu ortaya çıkardı. 24 Temmuz itibarıyla ABD'de 1.852'si ele geçirilmiş olmak üzere 6.000'den fazla IP adresi tespit edilirken, saldırganların sahte CAPTCHA'lar üzerinden Windows kullanıcılarını hedeflediği ve kendilerini yanlışlıkla enfekte ederek iç dosyalarını ifşa ettikleri belirlendi.
Forminator WordPress eklentisindeki bir açıklık, kimlik doğrulaması gerekmeden uzaktan kod çalıştırma ermöglicht. Bu, saldırganların PHP dosyalarını yüklemesine ve savunmasız form yapılandırmaları kullanan sitelerde uzaktan kod çalıştırmasına izin verir.