Tehdit aktörlerinin, yamalar yayınlandıktan kısa süre sonra WordPress Core'daki yüksek önem dereceli güvenlik açığını istismar etmeye çalıştıkları görüldü.
CVE tanımlayıcısı bulunmayan açık, WordPress Core sürümleri 4.7'den 7.1.3'e kadar uzaktan kod çalıştırma durumuyla ilgili. Açık, CVSS puanlama sisteminde 8,1 puan taşıyor. Açık için yamalar 28 Ekim 2026'da yayınlandı.
Wordfence, "Bunun nedeni tam paket çekirdek yükseltmeleri sırasında kullanılan öngörülebilir, web üzerinden erişilebilen geçici yollar" dedi. "Bu durum, yükseltme penceresi sırasında kimliği doğrulanmamış saldırganların sunucuda kod çalıştırmasını mümkün kılıyor."
WordPress güvenlik şirketi, başarılı istismarın "saldırganın WordPress'in tam bir Core güncellemesini paketinden çıkarırken çok dar bir pencereyi yakalaması" gerektiğini belirtti.
Sorun, etkilenen sürümlerin tam paket Core güncellemesine ait yeni dosyaları "wp-content/upgrade" altında öngörülebilir bir dizine paketinden çıkarmasından kaynaklanıyor. Bu kopya WordPress yükleyicisini de içeriyor.
Wordfence Tehdit Müdafaa Ekibi'ne liderlik eden Alex Thomas, "Birçok sunucuda geçici dizin web üzerinden erişilebilir olduğundan, tam doğru anda yükleyiciyi talep eden kimliği doğrulanmamış bir saldırgan, sahnelenen WordPress kopyasıyla etkileşime geçebilir ve PHP kod çalıştırma aşamasına ilerleyebilir" dedi.
Yarış durumu koşulunu kazanabilen bir tehdit aktörü, aşağıdaki koşullar sağlandığında sunucuda kod çalıştırma yeteneği elde edebilir -
Yükleyici dosyalarını içeren tam paket bir güncelleme
Geçici dizin ağacına genel web ve PHP erişimi
Öngörülebilir veya keşfedilmiş bir geçici yol ve
WordPress geçici dosyaları temizlemeden önce saldırıyı tamamlamak için yeterli süre
Bu pencerenin normal laboratuvar ortamlarında yalnızca saniyeler sürdüğü gözlemlense de, tehdit aktörleri açığı tetiklemeye çalışmak için "setup-config.php" gibi savunmasız yolları tekrar tekrar tarıyor. Wordfence, son 24 saatte açığı hedef alan 62.969 saldırı engellediğini söyledi.
Thomas, "En büyük iki kaynak yaklaşık 14,5 saat boyunca küçük site gruplarını tekrar tekrar taradı; bu davranış kısa yükseltme penceresini yakalamaya çalışma ile tutarlı" dedi. "Diğer kaynaklar birçok geçici dizin ve sürüm adı varyasyonunu test etti."
Thomas, "Her istek tam olarak savunmasız yolu kullanmadı, ancak sürdürülen taramalar ve kesin düzen sondaları saldırganların yarış durumu koşulunu hızla anladığını ve hedeflemeye başladığını gösteriyor" dedi.
Aktif istismar girişimleri zaten devam ederken, WordPress site sahiplerine mümkün olan en kısa sürede 7.1.4 sürümüne güncelleme yapmaları ve "wp-content/upgrade" altında bulunan PHP dosyalarına yönelik şüpheli isteklerin yanı sıra tanımadıkları yönetici hesapları, eklentiler veya PHP dosyaları aramaları öneriliyor.
