--- title: "WordPress, bazı sunucularda kod çalıştırmaya yol açabilen kritik açık için yama yayınladı" url: "https://teknotayf.com/haber/wordpress-bazi-sunucularda-kod-calistirmaya-yol-acabilen-kritik-acik-icin-yama-yayinladi" markdown_url: "https://teknotayf.com/haber/wordpress-bazi-sunucularda-kod-calistirmaya-yol-acabilen-kritik-acik-icin-yama-yayinladi.md" site: "teknotayf.com" language: "tr" published: "2026-09-22 21:03:10" updated: "2026-09-23 00:13:26" category: "Siber Güvenlik" tags: ["Web Güvenliği","Kod Çalıştırma","WordPress Güvenlik Açığı","CVE-2026-87902"] source: "The Hacker News" --- # WordPress, bazı sunucularda kod çalıştırmaya yol açabilen kritik açık için yama yayınladı > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/wordpress-bazi-sunucularda-kod-calistirmaya-yol-acabilen-kritik-acik-icin-yama-yayinladi > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** WordPress, hesabı olmayan bir saldırganın dışarıdan PHP dosyası yüklemesine izin veren kritik bir çekirdek açığını kapattı. Açık 22 Eylül’de WordPress 7.1.2 ile birlikte 4.7’den itibaren tüm desteklenen dallara yama olarak geldi. WordPress açığa CVSS 9.2 puanı ve CVE-2026-87902 kimliğini verdi. - **Yayın tarihi:** 2026-09-22 21:03 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Web Güvenliği, Kod Çalıştırma, WordPress Güvenlik Açığı, CVE-2026-87902 - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/09/wordpress-issues-patch-for-critical.html) ![WordPress, bazı sunucularda kod çalıştırmaya yol açabilen kritik açık için yama yayınladı](https://teknotayf.com/assets/uploads/2026/09/4760710aa2c9ea9cf8009c4bf05a6143.jpg) WordPress, bazı sunucularda kod çalıştırmaya yol açabilen kritik açık için yama yayınladı Swati Khandelwal 22 Eyl 2026 Güvenlik Açığı / Web Güvenliği WordPress, çekirdek yazılımında kritik bir açığı giderdi. Bu açık, hesabı olmayan bir saldırganın sitenin tema klasörlerinin dışından bir PHP dosyası yüklemesine izin veriyor. Bazı sunucularda bu durum daha da ileri gidiyor ve saldırganın kendi kodunu çalıştırmasına olanak tanıyor. Düzeltme **22 Eylül’de WordPress 7.1.2** ile yayınlandı, proje hâlâ desteklediği her dal için düzeltmeler içeriyor ve WordPress site sahiplerine şimdi güncellemelerini söylüyor. WordPress açığı kritik olarak değerlendiriyor, **CVSS puanı 9.2** olarak veriyor ve **CVE-2026-87902** olarak tanımlıyor. Erişim için hesap gerekmiyor ve oturum açmış bir kullanıcıdan herhangi bir işlem gerekmiyor. 4.7.0’dan 7.1.1’e kadar her sürüm etkileniyor. Bu, WordPress’in 17 Eylül güvenlik sürümünden 7.1.1’i de kapsıyor, yani bir haftadan az önce güncellenmiş bir site bile bu güncellemeye ihtiyaç duyuyor. Bu, sürümün düzelttiği açıkların ayrı bir açığı. Güncellenecek sürüm, kullandığınız dala bağlı: Çalıştırdığınız Dal WordPress düzeltmeyi nezaket gösterisi olarak hâlâ desteklediği her eski dala geri taşıdı, 4.7.37’ye kadar. Tam liste yayın notlarında. Sitelerde otomatik arka plan güncellemeleri etkinse güncelleme otomatik olarak başlayacak. Diğerleri güncelleştirmeler altından panodan güncelleyebilir veya sürümü WordPress.org’dan indirebilir. WordPress ayrı bir geçici çözüm sunmuyor, bu yüzden güncellemek çözüm. Yerel bir PHP dosyası yüklemek, o dosyanın zaten yaptığı şeyi çalıştırır. Bunu saldırganın seçimine göre koda dönüştürmek ikinci bir koşul gerektirir: sunucuda zaten yüklenince kullanışlı bir şey yapan bir PHP dosyası bulunmalı. Bu, WordPress’in açıklamasındaki “bazı sunucular” ifadesi ve bu yüzden açık her etkilenen sitede tam kod çalıştırma anlamına gelmiyor. Açık, WordPress’in bir sayfa için şablon dosyasını seçme biçiminde. Oluşturduğu dosya adlarından biri web adresinin bir parçasından geliyor ve etkilenen sürümlerde WordPress bu değeri komşu kodun zaten kullandığı ../ geçiş adımları için kendi kontrolünden geçirmedi. Ad page-{value}.php olarak oluşturulduğundan, çalışan bir saldırı için aktif temanın üst düzey bir klasörünün adının page- ile başlaması da gerekiyor ve hedef dosyanın .php ile bitmesi gerekiyor. Bazı temalar, eski varsayılan WordPress temaları da dahil, uygun bir klasörle geliyor. Güvenlik satıcısı Patchstack kendi analizinde, bir site sahibinin ne kadar maruz kaldığını anlamak için iki kontrolün yeterli olduğunu söylüyor: aktif temanın adının page- ile başlayan üst düzey bir klasörü var mı ve PHP register_argc_argv adlı bir ayar ile çalışıyor mu, bu da bilinen bir kod çalıştırma tekniğine bağlı. Şirket, bunların ikisinin de düzeltme olmadığını, ancak bir sitenin en kötü duruma ne kadar yakın olduğunu gösterdiğini söylüyor. Bu ayar PHP 8.5’te varsayılan olarak kapalı, eski PHP sürümlerinde varsayılan olarak açık. 22 Eylül itibarıyla açığın saldırılarda kullanıldığına dair rapor yok, kamuya açık bir kanıt konsepti yok ve ABD CISA Bilinen Sömürülen Kırılganlıklar kataloğunda bir girişi yok. WordPress, açığı bulup bildiren kişi olarak Robert Ressl’e teşekkür etti. The Hacker News, WordPress ve Ressl ile yorum için iletişime geçti. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/wordpress-bazi-sunucularda-kod-calistirmaya-yol-acabilen-kritik-acik-icin-yama-yayinladi Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.