WordPress Core'daki uzaktan dosya dahil etme zafiyeti CVE-2026-87902 aktif olarak istismar ediliyor

Aktif olarak istismar edilen bir core zafiyeti

CVE-2026-87902 olarak takip edilen yüksek önem dereceli bir zafiyet WordPress Core'da tespit edildi ve 17 Ekim 2026 tarihinde dev.to'da yayımlanan bir analizde atıf yapılan Tenable'ın CVE takibine göre bu zafiyet halihazırda sahte olmayan ortamda (in the wild) istismar ediliyor. Zafiyet uzaktan dosya dahil etme (remote file inclusion) olarak sınıflandırıldı, yamalar mevcut ve hem satıcı uyarısı hem de analiz, yöneticileri bu yamaları derhal uygulamaya — aylık bakım penceresinin bir maddesi olarak değil, acil bir değişiklik olarak — çağırıyor.

Kapsamın ayrıntıları bilinçli olarak birincil kaynağa bırakılmış. dev.to yazısı, etkilenen sürüm aralığının ve düzeltilmiş sürümün WordPress'ün kendi danışma belgesinde açıklandığını, ayrıca zafiyet kategorisinden çıkarsama yapmak yerine bu danışma belgesinin mekanizmayı teyit edecek yetkili kaynak olduğunu belirtiyor.

Uzaktan dosya dahil etme ne anlama geliyor

Uzaktan dosya dahil etme, bir uygulamanın işletmecisinin hiç ama etmediği bir konumdan — tipik olarak saldırganın kontrol ettiği uzak bir sunucudan — içerik yüklemesinin tetiklenebildiği bir hata sınıfıdır. Pratik etkisi, dahil edilen içeriğin yüklendikten sonra nasıl işlendiğine bağlıdır: en kötü senaryolarda bu tür hatalar uzaktan kod çalıştırmaya yaklaşabilirken, diğerlerinde hasar veri ifşası veya içerik enjeksiyonuyla sınırlı kalabilir. dev.to analizinde bu konuda dikkatli bir dil kullanılıyor: etiket tek başına bu hatanın tam olarak neye izin verdiğini kanıtlamaz, bu da resmî danışma belgesine başvurmak için ayrı bir neden.

Yaklaşık sekiz milyon ulaşılabilir kurulum

Analizdeki öne çıkan sayı, kamuya açık bir varlık arama motoru olan ZoomEye'dan geliyor. 1 Ekim 2026 tarihinde yapılan bir sorgu, bir WordPress parmak iziyle eşleşen 7.982.191 varlık döndürdü.

Yazar, bu rakamın neyi kapsayıp neyi kapsamadığı konusunda açık. Söz konusu sayı, doğrulanmış savunmasız örnekleri değil, gözlemlenebilir özelliklerle tespit edilen ulaşılabilir kurulumları sayıyor ve halihazırda yamanmış, profesyonel olarak yönetilen ya da güncellemeleri merkezi olarak dağıtan platformlarda barındırılan siteleri de içeriyor.

Yine de, iddiaya göre asıl mesele ölçek. Core kodundaki bir hata her WordPress kurulumuyla birlikte geldiği için, savunmasız popülasyon otomatik istismarın kimsenin bilinçli olarak hedef almasına gerek kalmadan hedef bulacağı kadar büyük. Analizde en yaygın kullanılan içerik yönetim sistemi olarak tanımlanan WordPress özgün biçimde kırılgan değil — sadece her yerde — ve eklenti ile tema ekosistemi, core güncellemelerinin hiç dokunmadığı kod katmanları ekliyor.

Yöneticiler ne yapmalı

Analiz pratik bir kontrol listesi sunuyor:

• WordPress Core'u düzeltilmiş sürüme güncelleyin, ardından çalışılan sürümü panelden teyit edin.
• Sitenin herhangi bir yapılandırma ya da eklenti yoluyla uzak kaynakları çekip çekemediğini belirleyin ve gerek yoksa bu yeteneği kapatın. Web katmanından giden istekleri engelleyen sunucu tarafı kuralları faydalı bir ek güvence sağlar.
• Tek başına güncellemenin kaldırmayacağı kalıcılık izlerini arayın: değiştirilmiş core dosyaları, kimsenin tanımadığı yönetici hesapları, veritabanına enjekte edilmiş betikler ve şüpheli zamanlanmış görevler ayrı bir temizlik gerektirir.
• Aynı incelemeyi eklenti ve temalara da genişletin, çünkü bir core yaması kurulumun geri kalanına dokunmaz.
• Çok sayıda site işletiyorsanız sürümleri tüm filo için değil site site takip edin, çünkü her kurulum kendi sürümüyle ayakta kalır ya da düşer.

Neden önemli

WordPress güvenlik haberlerinin çoğu belirli bir eklenti veya temayla ilgilidir ve bu, maruz kalan popülasyonu onu kullanan sitelerle sınırlar. Core'daki bir hata farklıdır: yapılandırmadan bağımsız olarak yamasız her kurulumda mevcuttur. Bunu teyit edilmiş sahte olmayan ortam istismarı, yüksek önem derecesi ve milyonlarla ölçülen ulaşılabilir popülasyonla birleştirin ve risk hesabı değişir — taramalar hemen başlar ve süresiz olarak devam eder, dolayısıyla bir hatayı olaya dönüştüren şey gecikmedir.

dev.to analizi verilerin sınırları konusunda dürüst: erişilebilirlik sayıları dışarıdan görüneni gösterir ve satıcının istismar durumu bildirimi satıcının gözlemlediğini yansıtır; ikisi de belirli bir sitenin hedef alındığını kanıtlamaz. Yine de ikisi de şimdi yamalamak için yeterli bir neden.