WordPress, hesabı olmayan bir saldırganın dışarıdan PHP dosyası yüklemesine izin veren kritik bir çekirdek açığını kapattı. Açık 22 Eylül’de WordPress 7.1.2 ile birlikte 4.7’den itibaren tüm desteklenen dallara yama olarak geldi. WordPress açığa CVSS 9.2 puanı ve CVE-2026-87902 kimliğini verdi.
WordPress, tüm sürümlerini etkileyen ve PHP kodu çalıştırma tehlikesi olan bir güvenlik açığını düzeltti. CVE-2026-64638 olarak tanımlanan bu açıklık, önceden kimlik doğrulaması gerekmeden reflected cross-site scripting (XSS) saldırısına izin veriyor.
Saldırganlar, WordPress'teki iki kritik güvenlik açığını birleştirerek wp2shell adı verilen bir saldırı zinciri oluşturdu. Bu açıklar, kimliği doğrulanmamış kullanıcıların uzaktan kod çalıştırmasına (RCE) ve savunmasız sitelerin tamamen ele geçirilmesine olanak tanıyor. Kamuya açıklanan exploit koduyla birlikte kitlesel taramalar başladı.
Bu haftalık özet, istismar edilen güvenlik açıklarını, açıkta kalan sistemleri, kötü amaçlı yazılım kampanyalarını, zayıf varsayılan ayarları ve acil dikkat gerektiren güvenlik boşluklarını kapsıyor. WordPress çekirdeğinde keşfedilen kritik bir RCE açığı, SonicWall cihazlarındaki 0-gün zafiyetleri ve AI hizmetlerine yönelik saldırılar öne çıkan başlıklar arasında.
WordPress'teki WP2Shell (CVE-2026-60137 ve CVE-2026-63030) açıkları, açıklamanın üzerinden sadece üç gün geçmesine rağmen saldırganlar tarafından birleştirilerek aktif olarak kullanılıyor. Milyonlarca site hâlâ savunmasız durumda ve tam uzaktan kontrol riski taşıyor.
WordPress çekirdeğinde keşfedilen wp2shell adlı kritik güvenlik açığı, kimliği doğrulanmamış saldırganların varsayılan kurulumlarda bile kod çalıştırmasına olanak tanıyor. WordPress, 17 Temmuz 2026'da yayımladığı 6.9.5 ve 7.0.2 sürümleriyle bu açığı kapattı ve zorunlu güncelleme mekanizmasını devreye soktu.