ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), WordPress Core'daki güvenlik açığını aktif istismar kanıtlarını gerekçe göstererek Bilinen İstismar Edilen Açıklar (KEV) kataloğuna ekledi.
Yüksek önem derecesindeki açık CVE-2026-119977 olarak izleniyor ve CVSS puanı 8.1. Time-of-check Time-of-use (TOCTOU) yarış durumu niteliğindeki bu zafiyet, etkilenen sunucularda keyfi kod çalıştırılmasına yol açabilir. Açık için yamalar geçen ayın sonunda yayınlandı.
CISA, "WordPress Core, tam paket çekirdek yükseltmeleri sırasında kullanılan öngörülebilir, web üzerinden erişilebilen geçici yollar nedeniyle yükseltme penceresinde kimliği doğrulanmamış saldırganların sunucuda kod çalıştırmasına izin verebilecek bir time-of-check time-of-use (TOCTOU) yarış durumu zafiyeti içeriyor" dedi. Ajans, sorunun tam paket çekirdek yükseltmelerinde kullanılan öngörülebilir, web erişimine açık hazırlık yollarından kaynaklandığını belirtti.
Açığın detayları geçen hafta ortaya çıktı. Wordfence, zafiyetten yararlanmak için sitede hesap gerekmediğini söyledi. Buna karşın saldırganın kimliği doğrulanmamış kod çalıştırılmasına izin verebilecek tam bir Çekirdek güncellemesi sırasında oluşan kısa bir pencereyi değerlendirmesi gerekiyor.
Kamuoyuna açıklanmasının ardından ilk 21 saat içinde WordPress güvenlik şirketi, sahnelenen "setup-config.php" kurulum yollarını hedefleyen 18 bin 500'den fazla isteği kaydettiğini bildirdi. Yazının hazırlandığı sırada son 24 saatte açığı istismar etmeye çalışan 12 bin 632 saldırı engellendi.
Previdian'dan gelen telemetri verilerine göre, Birleşik Krallık'ta konumlandırılan bir IP adresinden honeypot sensörlerine karşı üç istismar girişimi kaydedildi. İstismar olayları 30 Ekim 2026'da gözlendi.
İstismar CISA tarafından resmen teyit edildiğinden, Federal Sivil Yürütme Şubesi (FCEB) kurumlarının düzeltmeleri uygulaması için 6 Kasım 2026'ya kadar süresi var.
