Konuyu Açan
#1
📌 Kısa ve Net Özet (CVE-2026-119977)
Zafiyet Nedir? WordPress güncellemeleri sırasında wp-content/upgrade klasörüne geçici bir kurulum (installer) dosyası açar.
Saldırı Nasıl Oluyor? Eski WordPress sürümleri bu geçici klasöre tahmin edilebilir bir isim verir. Saldırganlar, tam güncelleme yapıldığı andaki birkaç saniyelik zaman penceresini yakalayıp bu klasöre erişerek sunucunuzda kötü amaçlı kod çalıştırabilir (CISA tarafından aktif olarak istismar edildiği onaylanmıştır).
Kimler Etkileniyor? WordPress 4.7 ile 7.1.3 arasındaki sürümler (özellikle eski sürümden en son sürüme tam paket güncellemeleri yapılırken).
🛠️ Düzeltme (Fix) Nasıl Çalışıyor?
WordPress Ne Yaptı? WordPress 7.1.4 sürümüyle birlikte bu açığı kapattı.
Yama Nasıl Koruyor?
Artık güncellemeler sırasında geçici klasörlere rastgele (tahmin edilemez) isimler veriliyor.
Güncelleme sırasında eski kodun wp-config.php gibi kritik dosyaların üzerine yazması engelleniyor.
Ancak güncelleme yapılırken eski kod devrede olduğu için, güncelleme anında hâlâ risk oluşabilir. Bu yüzden güncellemeden hemen önce web erişimini kapatmak önerilir.
🧪 Nasıl Test Edilir?
Sitenizin veya sunucunuzun bu zafiyete karşı geçici klasör güvenliğini doğrulamak için şu adımı izleyebilirsiniz:
Tarayıcınızı açın ve sitenizin uzantısına şunu yazarak gidin:
https://sitenizin-adi.com/wp-content/upgrade/
Beklenen Sonuç (Güvenli): Sunucunun size 403 Forbidden (Erişim Engellendi) hatası vermesi gerekir.
Eğer dizin içeriği listeleniyor veya farklı bir sayfa açılıyorsa, dışarıdan gelebilecek dosya/klasör erişimlerine karşı savunmasızsınız demektir. Güncelleme yapmadan önce Nginx veya Apache ayarlarından bu klasöre web erişimini engellemeniz gerekir.
Zafiyet Nedir? WordPress güncellemeleri sırasında wp-content/upgrade klasörüne geçici bir kurulum (installer) dosyası açar.
Saldırı Nasıl Oluyor? Eski WordPress sürümleri bu geçici klasöre tahmin edilebilir bir isim verir. Saldırganlar, tam güncelleme yapıldığı andaki birkaç saniyelik zaman penceresini yakalayıp bu klasöre erişerek sunucunuzda kötü amaçlı kod çalıştırabilir (CISA tarafından aktif olarak istismar edildiği onaylanmıştır).
Kimler Etkileniyor? WordPress 4.7 ile 7.1.3 arasındaki sürümler (özellikle eski sürümden en son sürüme tam paket güncellemeleri yapılırken).
🛠️ Düzeltme (Fix) Nasıl Çalışıyor?
WordPress Ne Yaptı? WordPress 7.1.4 sürümüyle birlikte bu açığı kapattı.
Yama Nasıl Koruyor?
Artık güncellemeler sırasında geçici klasörlere rastgele (tahmin edilemez) isimler veriliyor.
Güncelleme sırasında eski kodun wp-config.php gibi kritik dosyaların üzerine yazması engelleniyor.
Ancak güncelleme yapılırken eski kod devrede olduğu için, güncelleme anında hâlâ risk oluşabilir. Bu yüzden güncellemeden hemen önce web erişimini kapatmak önerilir.
🧪 Nasıl Test Edilir?
Sitenizin veya sunucunuzun bu zafiyete karşı geçici klasör güvenliğini doğrulamak için şu adımı izleyebilirsiniz:
Tarayıcınızı açın ve sitenizin uzantısına şunu yazarak gidin:
https://sitenizin-adi.com/wp-content/upgrade/
Beklenen Sonuç (Güvenli): Sunucunun size 403 Forbidden (Erişim Engellendi) hatası vermesi gerekir.
Eğer dizin içeriği listeleniyor veya farklı bir sayfa açılıyorsa, dışarıdan gelebilecek dosya/klasör erişimlerine karşı savunmasızsınız demektir. Güncelleme yapmadan önce Nginx veya Apache ayarlarından bu klasöre web erişimini engellemeniz gerekir.
