Contact Form 7'deki kritik CVSS 9.8 dosya yükleme açığı 6.2.4 sürümünde giderildi

Ekim ayında giderilen kritik açık

Contact Form 7'nin 6.2 ile 6.2.3 arasındaki sürümleri, CVE-2026-114432 olarak takip edilen, kimlik doğrulaması gerektirmeyen bir rastgele dosya yükleme açığı içeriyor. Wordfence açığı CVSS ölçeğinde 9.8 olarak puanlayarak kritik bandına yerleştirdi; ABD Ulusal Güvenlik Açıkları Veritabanı'ndaki CISA zenginleştirmesi ise açığı otomatikleştirilebilir ve toplam teknik etkiye sahip olarak işaretliyor. Eklentinin geliştiricisi sorunu 29 Ekim 2026'da yayımlanan 6.2.4 sürümünde giderdi; güncel sürüm ise 6.2.5.

Açık neye izin veriyor

Geliştiricinin sürüm notuna göre saldırganlar, eklentinin yükleme işleyişindeki birkaç zayıflığı zincirleyerek doğrulamanın reddetmesi gereken dosyaları gönderebilir ve normalde form gönderiminden hemen sonra Contact Form 7'nin sunucudan sileceği dosyaları sunucuda tutabilir. Dev.to'da yeniden yayımlanan, HackerMe güvenlik firmasının yazısı, sonuçların sunucu yapılandırmasına bağlı olduğunu açıklıyor: bazı Apache kurulumlarında yüklenen bir dosya kod olarak çalıştırılabilirken, diğer kurulumlarda dosya yine de sitenin kendi alan adından HTML veya SVG olarak sunulabilir.

Hangi siteler risk altında

HackerMe'nin analizi, ikisinin de birlikte bulunması gereken iki koşul ortaya koyuyor: site Contact Form 7'nin 6.2, 6.2.1, 6.2.2 veya 6.2.3 sürümünü çalıştırıyor ve formlarından en az birinde dosya yükleme alanı var. Geliştirici, teoride dosya yükleme alanı içeren herhangi bir formun hedef olabileceğini söyledi. 6.2.4 veya 6.2.5 kullanan siteler yamalanmış durumda; eklentiyi hiç dosya yükleme alanı olmadan kullanan siteler ise geliştiricinin tanımladığı koşulun dışında kalıyor.

6.2 sürümü 6 Ekim 2026'da yayımlandığı için, o tarihten bu yana herhangi bir zamanda etkilenen bir sürümü çalıştırmış tüm sitelerin ayrıca o pencere sırasında geride bırakılmış dosyaları kontrol etmesi gerekiyor. Yamayı kurmak, bir saldırganın önceden yüklemüş olabileceği hiçbir şeyi silmiyor.

Açıklama zaman çizelgesi ve son tarih

HackerMe'nin bir araya getirdiği kamuya açık kayıt şöyle işliyor: Geliştiricinin 6.2.4 sürüm notu 29 Ekim 2026'da ortaya çıktı. Wordfence girdisini 31 Ekim'de CVSS 9.8 puanıyla yayımladı. Raporu koordine eden WPScan girdisini 5 Kasım'da yayımladı ve araştırmacı Shinya Murakami'ye atıf yaptı; geliştirici ayrıca Jakub Herman'a atıf yapıyor. CVE, 8 Kasım'da Ulusal Güvenlik Açıkları Veritabanı'na girdi.

CISA'nın 8 Kasım tarihli değerlendirmesi herhangi bir istismar kaydetmedi; 11 Kasım itibarıyla CVE, kurumun Bilinen İstismar Edilen Güvenlik Açıkları kataloğunda yer almıyor. Pratik son tarih bunun yerine WPScan'in 19 Kasım 2026'da bir proof of concept yayımlama planı. Güncelleme penceresini belirleyen, teyit edilmiş bir saldırı dalgası değil, bu tarih.

Site sahipleri ne yapmalı

HackerMe, 6.2.5'e ya da en azından 6.2.4'e güncelleme yapmayı, ardından eklenti listesinde kurulu sürümü doğrulamayı ve meşru bir dosya gönderiminin hâlâ çalıştığını test etmeyi öneriyor. Anında güncelleme mümkün değilse, geçici önlem dosya yükleme alanını herkese açık formlardan devre dışı bırakmak veya kaldırmaktır.

Güncellemeden sonra, uploads klasörünü açıklanamayan her şey açısından inceleyin; özellikle yakın tarihli PHP, HTML veya SVG dosyalarına ve diğer beklenmedik çalıştırılabilir türlerine bakın. Bu CVE'den bağımsız olarak uygulanmaya değer iki sunucu kuralı var: uploads klasöründe dizin listelemeyi devre dışı bırakmak ve barındırıcının izin verdiği yerlerde klasördeki PHP çalıştırmayı engellemek. Hesabı verilemeyen her dosya olası bir ele geçirilme olarak ele alınmalı ve sitenin geri kalanı incelenmelidir.

Yazı ayrıca dış taramanın sınırları konusunda uyarıyor: dışarıdan yapılan bir kontrol açıklanmış eklenti sürümünü ve herkese açık erişilebilen artık dosyaları görebilir, ancak web üzerinden erişilebilir olmayan dosyaları göremez ve sitenin hiçbir zaman bir yükleme için kullanılmadığını kanıtlayamaz.

Neden önemli

Contact Form 7 WordPress sitelerinde yaygın olarak kullanılıyor ve dosya yükleme alanları sık görülen bir özellik; dolayısıyla yamalanmamış sürüm artı yükleme formu kombinasyonu hiç de nadir değil. Açık kimlik doğrulaması gerektirmiyor, CVSS ölçeğinin tepesinde yer alıyor ve CISA tarafından otomatikleştirilebilir olarak işaretlenmiş durumda. Şimdiye kadar hiçbir saldırı teyit edilmedi, ancak exploit kodunun 19 Kasım'da kamuya açıklanması planlanıyor; bu da o tarihten önceki günleri asıl önemli pencere hâline getiriyor. Son olarak, yanıt güncellemeyle bitmiyor: maruz kalma penceresi sırasında yüklenmiş dosyalar hâlâ sunucuda duruyor olabilir ve onları kontrol etmek de çözümün bir parçası.