--- title: "WordPress açığı için yama yüklenirken siteler son kez saldırıya açık kalabiliyor" url: "https://teknotayf.com/haber/wordpress-acigi-icin-yama-yuklenirken-siteler-son-kez-saldiriya-acik-kalabiliyor" markdown_url: "https://teknotayf.com/haber/wordpress-acigi-icin-yama-yuklenirken-siteler-son-kez-saldiriya-acik-kalabiliyor.md" site: "teknotayf.com" language: "tr" published: "2026-11-06 19:08:38" updated: "2026-11-07 01:32:42" category: "Siber Güvenlik" tags: ["Web Güvenliği","Sıfırıncı Gün Açığı","WordPress Güvenlik Açığı","WordPress Güncelleme"] source: "The Hacker News" --- # WordPress açığı için yama yüklenirken siteler son kez saldırıya açık kalabiliyor > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/wordpress-acigi-icin-yama-yuklenirken-siteler-son-kez-saldiriya-acik-kalabiliyor > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** Picus Security araştırmacısı Umut Bayram, aktif olarak sömürülen WordPress açığı için düzeltme yüklenirken bile sitelerin saldırıya açık kalabildiğini tespit etti. CVE-2026-119977 kodlu açık 4.7’den 7.1.3’e kadar sürümleri etkiliyor ve güncelleme sırasında geçici klasör üzerinden kod çalıştırılmasına izin verebiliyor. Araştırmacı, güncelleme öncesi wp-content/upgrade dizinine web erişiminin engellenmesini öneriyor. - **Yayın tarihi:** 2026-11-06 19:08 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Web Güvenliği, Sıfırıncı Gün Açığı, WordPress Güvenlik Açığı, WordPress Güncelleme - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/11/installing-fix-for-exploited-wordpress.html) ![WordPress açığı için yama yüklenirken siteler son kez saldırıya açık kalabiliyor](https://teknotayf.com/assets/uploads/2026/11/27a82d952edc6631cfabe60cea608105.jpg) Aktif olarak sömürülen bir açık için düzeltmeyi yüklerken bazı WordPress sitelerine hâlâ saldırı yapılabiliyor. Açığı bulan Picus Security araştırmacısı **Umut Bayram**’a göre durum böyle. Yamayı yükleyen güncelleme dosyaları hâlâ sitenin eski, yamalanmamış kodu üzerinden açılır. Bu yüzden doğru anda saldıran bir kişi sunucuda kod çalıştırabiliyor. Araştırmacı, güncelleme öncesinde sitenin **wp-content/upgrade** klasörüne web erişiminin engellenmesini öneriyor. **CVE-2026-119977** olarak izlenen açık WordPress 4.7’den 7.1.3’e kadar sürümleri etkiliyor. Tam paket kullanan bir çekirdek güncellemesi sırasında WordPress, yeni sürümün bir kopyasını wp-content/upgrade içindeki geçici bir klasöre açar. Bu kopya WordPress yükleyicisini içerir ve web sunucusu genellikle ona ulaşabilir. Hesabı olmayan ancak klasörün adını tespit edip WordPress kopyayı silmeden önce yükleyiciye ulaşabilen bir saldırgan sunucuda kod çalıştırmayı başarabiliyor. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA, açığı bu hafta başında bilinen sömürülen açıklar kataloğuna ekledi. WordPress düzeltmeyi geçen hafta **WordPress 7.1.4** sürümünde ve 4.7’ye kadar eski dallar için eşleşen güncellemelerde yayınladı; hepsi güvenlik duyurusunda listeleniyor. Düzeltme geçici klasöre rastgele bir ad veriyor. Ancak düzeltmeyi yükleyen güncelleme dosyaları, WordPress güncelleyici kodunun da gösterdiği gibi, sitede zaten bulunan eski kod üzerinden açılır. 5.9 ve sonrası çalışan sitelerde bu eski kod klasöre indirilen dosyanın adını verir, böylece ad bir kez daha tahmin edilebilir. Düzeltmeden önce saldırgan yükleyiciyi kullanarak geçici kopyaya yeni bir wp-config.php yapılandırma dosyası yazabiliyordu. Güncelleme ardından sitenin gerçek dosyasını bu dosya ile üzerine yazıyordu. Bu durumu engelleyen düzeltme parçası, WordPress dosyaları yeni kodla yerine kopyaladığı için düzeltmeyi yükleyen güncelleme sırasında zaten çalışıyor. Bayram’ın teknik yazısında belirttiğine göre, güncelleme sırasında oluşan pencereyi yakalayan bir saldırgan geçici WordPress kopyasını kendi veritabanıyla kurabilir, giriş yapabilir ve kopya silinmeden önce web sunucusu izinleriyle PHP kodu çalıştırabilir. Buradan saldırgan canlı WordPress sitesindeki dosyaları okuyup yazabilir. ## Güncelleme Sırasında Kimler Risk Altında Araştırmacıya göre her güncelleme yükleyiciyi açığa çıkarmıyor. Tam paketler her zaman yükleyici dosyalarını içerir. Belirli bir başlangıç sürümü için oluşturulmuş daha küçük bir kısmi paket, yalnızca yükleyici dosyalarını içeriyorsa siteyi riske atar. Otomatik arka plan güncellemelerine izin veren sitelerde WordPress düzeltmeyi aynı güncelleyici ve aynı adımlarla otomatik olarak yükler. The Hacker News bugün WordPress.org’un güncelleme servisini birkaç sürüm için kontrol etti. 7.1.3’ten 7.1.4’e gibi aynı dal içindeki güncellemeler için kısmi paket sunuldu, otomatik güncellemeler dahil. 7.0.7’den 7.1.4’e gibi daha eski bir daldan geçişte ise yalnızca tam paketler sunuldu. 4.4’ten 5.8’e kadar eski kod klasör adına rastgele karakterler ekler. Araştırmacıya göre bu, site bir hata mesajında olduğu gibi başka bir yolla adını sızdırmadığı sürece adı gizler. 7.1.4 veya bir dal düzeltmesi yüklendikten sonra sonraki güncellemeler rastgele klasör adı kullanır ve geçici kopyadaki wp-config.php dosyası asla gerçek dosyanın üzerine yazılmaz. ## Güncelleme Öncesi Yapılacaklar Araştırmacının ilk önerisi web sunucusunun wp-content/upgrade klasörünü hiç sunmasını engellemek. WordPress bu klasörle doğrudan disk üzerinden çalıştığı için web erişimini engellemek güncellemeleri bozmaz, diyor. Klasörü web sunucusu yapılandırmasında engelleyin. Nginx’te location ^~ /wp-content/upgrade/ { deny all; } ekleyin. Apache’de sanal konak yapılandırmasında ilgili klasör için bloğu içine Require all denied ekleyin. Yalnızca .htaccess’i düzenleyebiliyorsanız, WordPress kökündeki .htaccess dosyasına, WordPress yeniden yazma kurallarının üstüne RedirectMatch 403 ^/wp-content/upgrade/ ekleyin. .htaccess dosyasını wp-content/upgrade içine koymayın. Eski güncelleyici bir güncelleme açmadan önce klasörün içindeki her şeyi siler, böylece dosya gerektiğinde kaybolur. /wp-content/upgrade/ isteğinin 403 hatası döndürdüğünü doğrulayın. 7.1.4’e veya dalınız için düzeltilmiş sürüme güncelleyin. Dediğine göre diğer güvenli yol, web sunucusunun sunduğu klasörün dışında yapılan manuel güncellemedir. Site dosyalarını ve veritabanını yedekleyin, yeni sürümü web sunucusunun sunmadığı bir klasöre açın, wp-config.php veya wp-content’e dokunmadan çekirdek dosyaları yerine kopyalayın ve ardından WordPress veritabanı güncellemesini çalıştırın. Böylece web’in erişebileceği bir klasörde geçici yükleyici asla oluşturulmaz. WP-CLI’nin wp core update komutu bunun yerine geçmez, çünkü aynı güncelleyiciyi çalıştırır ve paketi aynı klasöre açar. WordPress 4.6 ve öncesi artık güvenlik güncellemesi almıyor, bu yüzden onlar için düzeltme yok. Araştırmacı açığın 2008’de yayınlanan WordPress 2.7’ye kadar gittiğini söylüyor ve bu sitelerin desteklenen bir sürüme geçmesi gerektiğini belirtiyor. ## Saldırılar ve Kontrol Edilecekler CISA’nın bu hafta başındaki katalog eklemesi aktif sömürü kanıtlarına dayanıyordu, ancak kurum saldırıları tanımlamadı. CVE tanımlayıcısını atayan WordPress güvenlik şirketi Wordfence, yayın gününde açık için güvenlik duvarı kuralını devreye aldıktan dokuz dakika sonra saldırı denemelerinin başladığını gördü. En yoğun iki kaynak yaklaşık 14,5 saat boyunca küçük site gruplarını sürekli kontrol etti; şirket saldırı analizinde bunun bir sitenin güncellenme anını yakalama girişimleriyle uyumlu olduğunu söylüyor. CVE kaydında açığın CVSS ölçeğindeki puanı 10 üzerinden 8,1. Laboratuvar testlerinde pencere yalnızca saniyeler sürdü. WordPress’in kendi duyurusu açığı düşük olarak değerlendiriyor. Yazarlarının açık için bir istismar olarak tanımladığı kod bu hafta başından beri kamuya açık GitHub depolarında görünmeye başladı. Bunlardan biri kodunun tam paket güncellemeleri sırasında tahmin edilebilir klasör kullanan sitelerde de çalıştığını söylüyor. Kodun çalışıp çalışmadığı henüz kanıtlanmadı. Yayın sonrası etkilenen bir sürümde kalan siteler için Wordfence şunları kontrol etmenizi öneriyor: wp-content/upgrade altındaki PHP dosyalarına yönelik beklenmeyen istekler Kimsenin tanımadığı yönetici hesapları Kimsenin yüklemediği eklentiler Kimsenin koymadığı wp-content/upgrade içindeki PHP dosyaları ## Güncelleme Bayram 6 Kasım’da The Hacker News’e kısmi bir güncellemenin açığa çıkıp çıkmadığının o paketin içeriğine bağlı olduğunu söyledi. Kısmi paket iki sürüm arasındaki değişen dosyaları içerir. Bunlar yükleyici dosyalarını içermiyorsa geçici kopya WordPress kurulumu olarak çalışamaz ve yükleyici asla erişilebilir olmaz. Bir site kısmi paket mevcut olsa bile her zaman onu almaz. WordPress sitenin çekirdek dosyaları resmi kontrol toplamlarıyla eşleşmiyorsa veya güncelleme yeniden yükleme ise tam pakete geri döner. Araştırmacı, belirleyici faktörün "kısmi mi tam mı olduğu değil, sitenin üzerinde kurulu olan güncelleyicinin düzeltilip düzeltilmediği" olduğunu söyledi. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/wordpress-acigi-icin-yama-yuklenirken-siteler-son-kez-saldiriya-acik-kalabiliyor Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.