Siber güvenlik firması Wordfence'in tespitlerine göre, siber saldırganlar WordPress eklentileri Super Forms ve Elementor Pro'da yer alan iki kritik güvenlik açığını aktif olarak sömürüyor.
Sömürülen güvenlik açıkları şu şekilde:
• CVE-2026-14894 (CVSS skoru: 9.8) - Super Forms – Drag & Drop Form Builder eklentisindeki dosya türü doğrulama eksikliği. Bu açık, kimliği doğrulanmamış saldırganların çalıştırılabilir PHP dosyaları da dahil olmak üzere her türlü dosyayı yüklemesine ve uzaktan kod çalıştırmasına olanak tanıyor. (6.3.314 sürümünde düzeltildi)
• CVE-2026-32475 (CVSS skoru: 9.0/9.8) - Elementor Pro'daki bir açık. Bu açık da kimliği doğrulanmamış saldırganların çalıştırılabilir PHP dosyaları dahil her türlü dosyayı yükleyerek uzaktan kod çalıştırmasına izin veriyor. (4.2.2 sürümünde düzeltildi)
Bu tür dosya yükleme açıklarında olduğu gibi, saldırganlar bu açıkları kullanarak siteye bir PHP web kabuğu yerleştirebilir ve istedikleri kodları çalıştırabilir. Elde edilen bu yetkiler daha sonra yönetici hesapları oluşturmak, verileri sızdırmak veya tüm WordPress sitesinin kontrolünü ele geçirmek için kötüye kullanılabiliyor.
Öte yandan CVE-2026-32475 kodlu açıkla ilgili ayrıntılar geçen ay Patchstack tarafından kamuoyuyla paylaşılmıştı. Bu açığın başarılı bir şekilde sömürülebilmesi için hedef sitede, Dosya Yükleme alanı içeren bir Form widget'ı barındıran en az bir yayınlanmış Elementor sayfası bulunması gerekiyor.
Siber güvenlik firması bu hafta yayımladığı iki ayrı raporda, CVE-2026-14894 ve CVE-2026-32475 açıklarını hedef alan sırasıyla 250 binin üzerinde ve 190 binin üzerinde sömürü girişimini şimdiden engellediğini duyurdu.
CVE-2026-14894 Açığına Yönelik Sömürü Faaliyetleri
CVE-2026-14894 açığını hedef alan saldırılarda, siber saldırganların 'super_submit_form' uç noktasını kullanarak '/wp-admin/admin-ajax.php' adresine HTTP POST isteği gönderdiği tespit edildi. Söz konusu istek, Base64 ile kodlanmış bir PHP yükü ve saldırgan tarafından belirlenen bir dosya adı içeren bir dosya alanı barındırıyor.
