--- title: "Saldırganlar WooCommerce Wholesale Lead Capture Açığını Sömürerek PHP Web Shell Yerleştiriyor" url: "https://teknotayf.com/haber/saldirganlar-woocommerce-wholesale-lead-capture-acigini-somurerek-php-web-shell-yerlestiriyor" markdown_url: "https://teknotayf.com/haber/saldirganlar-woocommerce-wholesale-lead-capture-acigini-somurerek-php-web-shell-yerlestiriyor.md" site: "teknotayf.com" language: "tr" published: "2026-09-16 08:48:28" updated: "2026-09-24 14:19:58" category: "Siber Güvenlik" tags: ["Siber Saldırı","WordPress Güvenliği","Web Shell","WooCommerce Açığı","The Events Calendar"] source: "The Hacker News" --- # Saldırganlar WooCommerce Wholesale Lead Capture Açığını Sömürerek PHP Web Shell Yerleştiriyor > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/saldirganlar-woocommerce-wholesale-lead-capture-acigini-somurerek-php-web-shell-yerlestiriyor > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** WooCommerce Wholesale Lead Capture eklentisindeki kritik dosya yükleme açığı üzerinden saldırganların PHP web shell yerleştirdiği ve Wordfence’in 100 binden fazla istismar girişimini engellediği açıklandı. Aynı dönemde The Events Calendar eklentisinde kimliği doğrulanmamış uzaktan kod çalıştırma sağlayan iki kritik açık daha tespit edildi. Geliştiriciler her iki ürün için de düzeltme sürümlerini yayımladı. - **Yayın tarihi:** 2026-09-16 08:48 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Siber Saldırı, WordPress Güvenliği, Web Shell, WooCommerce Açığı, The Events Calendar - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/09/attackers-exploit-woocommerce-wholesale.html) ![Saldırganlar WooCommerce Wholesale Lead Capture Açığını Sömürerek PHP Web Shell Yerleştiriyor](https://teknotayf.com/assets/uploads/2026/09/a6e0617c1398fdf207a3342e09905953.jpg) Tehdit aktörleri, **6.000’den fazla** aktif kurulumu bulunan premium bir WordPress eklentisi olan WooCommerce Wholesale Lead Capture’daki kritik bir güvenlik açığını sömürüyor. Wordfence, “Bu açık, kimliği doğrulanmamış saldırganların PHP arka kapıları da dahil olmak üzere keyfi dosyalar yüklemesine ve uzaktan kod çalıştırmasına olanak tanıyor” dedi. WordPress güvenlik şirketi, Haziran 2026’dan bu yana söz konusu açığı hedef alan **100.000’den fazla** istismar girişimini engellediğini belirtti; bu girişimlerin **99’u** son 24 saatte kaydedildi. Açık **CVE-2026-27540** olarak izleniyor (CVSS puanı: **9.8**). Sorun, **2.0.3.1** dahil olmak üzere eklentinin tüm sürümlerini etkileyen “wwlc_file_upload_handler” adlı AJAX işleminde dosya türü doğrulamasının eksik olmasından kaynaklanan keyfi dosya yüklemesi durumu. Bu durum, kimliği doğrulanmamış bir saldırganın etkilenen sitenin sunucusuna keyfi dosyalar yüklemesinin önünü açıyor ve uzaktan kod çalıştırma yolunu hazırlıyor. Wordfence’in gözlemlediği saldırıda tehdit aktörleri, sahte bir file_settings parametresi ve kötü amaçlı bir PHP dosyası (“shell.php”) ile “wwlc_file_upload_handler” AJAX işlemine hazırlanmış istekler gönderiyor. Yüklenen PHP dosyası, ana bilgisayar ayrıntılarını bildiren ve tehlikeye atılan WordPress sitesine ek kötü amaçlı dosyalar yazmak için tarayıcı tabanlı bir yükleme formu sunan bir web shell. İstismar girişimleri aşağıdaki IP adreslerinden kaynaklandı. Başarılı bir saldırı saldırganın keyfi PHP dosyaları yüklemesine izin verdiği için WordPress site sahiplerinin özellikle uploads dizininde beklenmeyen veya yakın zamanda oluşturulmuş .php dosyalarını kontrol etmesi ve “/wp-admin/admin-ajax.php” adresine action parametresi “wwlc_file_upload_handler” olarak ayarlanmış şüpheli istekleri yukarıdaki IP adreslerinden incelemesi öneriliyor. ## The Events Calendar’da Kritik Açık Gelişme, Wordfence’in **600.000’den fazla** web sitesinde kurulu bir WordPress eklentisi olan The Events Calendar’ı etkileyen iki kritik açığı detaylandırmasıyla geldi. Başarılı istismar için hedef etkinlik sayfasında yorumların etkin olması ve eklentinin “Etkinlik sayfalarında yorumları göster” seçeneğinin aktif olması gerekiyor. Açıkların kısa açıklaması aşağıda. **CVE-2026-78159** (CVSS puanı: 9.8) - “parse_array” fonksiyonundaki widget ‘classes’ haritasının yetersiz doğrulanmasından kaynaklanan bir açık; **6.17.3** ve altı sürümlerde kimliği doğrulanmamış uzaktan kod çalıştırma sağlanabilir. **CVE-2026-78006** (CVSS puanı: 9.8) - “is_safe_widget_instance” fonksiyonundaki yetersiz korumadan kaynaklanan bir açık; **6.17.4** ve altı sürümlerde kimliği doğrulanmamış uzaktan kod çalıştırma sağlanabilir. Wordfence, “Her iki zincir de eklentinin widget işleme hattında başlıyor ve iki ayrı yöntemle kimlik doğrulaması olmadan uzaktan kod çalıştırmaya yol açabiliyor” dedi. “İlk zincir, altta yatan sunucuda keyfi işletim sistemi komutlarını çalıştırmak için PHP Nesne Enjeksiyonunu kullanıyor. İkinci zincir nesne enjeksiyonu korumasını atlıyor ve keyfi çağrılabilir bir ilkel öğeyi kötüye kullanarak bir yöneticinin şifresini sıfırlıyor; ardından saldırgan kötü amaçlı bir eklenti yükleyerek sitenin tam kontrolünü ele geçirebiliyor.” Wordfence, her iki zincirin de moderatör onayı olmadan WordPress’in bekleyen yorum önizlemesi üzerinden tetiklenebileceği konusunda uyardı ve açığın tam site ele geçirme, hassas veri hırsızlığı ve kötü amaçlı yazılım dağıtımına yol açabileceği belirtildi. Eklentiyi geliştiren StellarWP, açıkları sırasıyla **6.17.3.1** ve **6.17.4.1** sürümlerinde giderdi. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/saldirganlar-woocommerce-wholesale-lead-capture-acigini-somurerek-php-web-shell-yerlestiriyor Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.