WordPress CVE-2026-87902, yama yayınlandıktan bir gün sonra sömürülmeye başladı; honeypotlar 64 deneme kaydetti

Ne oldu

WordPress çekirdeğindeki, CVE-2026-87902 olarak takip edilen ve 7.1.2 sürümünde düzeltilen bir güvenlik açığı, yamalanmasından kabaca bir gün sonra aktif sömürü aşamasına geçti. Patchstack ve BleepingComputer telemetrisine dayanan dev.to'daki bir rapor, düzeltme yayımlanır yayımlanmaz saldırı trafiğinin ortaya çıktığını aktarıyor. Hata CVSS v3.1 üzerinde 8.1 olarak derecelendirildi ve kimlik doğrulaması yapılmamış bir saldırganın web sunucusunun okuyabileceği yerel bir PHP dosyasını dahil etmesine imkân tanıyor — bu ilkel davranış uzaktan kod çalıştırmaya (remote code execution) dönüşebiliyor.

Güvenlik açığı nasıl çalışıyor

dev.to'daki yazıya göre kök neden, pagename parametresindeki bir path traversal. Saldırgan iki kez kodlanmış bir geçiş dizisi gönderiyor: ilk katman, dizinin WordPress'ün erken sanitizasyon aşamasından geçmesini sağlıyor; ikincisi ise istek get_page_template()'e ulaştığında çözülüyor. Bu noktada template loader, dosya mevcut, okunabilir ve .php ya da .html uzantılı olduğu sürece aktif temanın dizinleri dışındaki bir dosyayı kabul ediyor.

Dosya dahil etme tek başına kısıtlı. Yazıda, tam kod çalıştırmanın iki ek koşul gerektirdiği açıklanıyor: aktif temada üst düzey bir page- dizini bulunmalı ve PHP, register_argc_argv etkin şekilde çalışmalı. İkisi de sağlandığında, yaygın biçimde anlatılan zincir, PHP ile birlikte gelen pearcmd.php betiğini kötüye kullanarak dosya dahil etmeyi komut çalıştırmaya dönüştürüyor.

Saldırganlar ne yaptı

Previdian honeypot sensörleri, New Jersey'deki tek bir kaynaktan gelen 64 saldırı denemesi kaydetti. Kampanyanın payload'u GitHub üzerinde barındırılan bir web shell'di; saldırganlar bu dosyayı açığı kullanarak yerleştirmeye çalıştı. Tek bir kaynaktan gelen çok sayıda keşif denemesinden oluşan trafik deseni, yanıt veren ilk hedefe payload ulaştıran fırsatçı taramalara uyuyor.

Başarılı bir kurulum, operatöre web sunucusu kullanıcısı olarak çalışan etkileşimli bir shell kazandırır; veritabanı kimlik bilgileri gibi yapılandırma dosyaları ve o sürecin erişebildiği her şey açığa çıkar.

Kimler etkileniyor

7.1.2'nin altındaki her WordPress sürümü savunmasız ve satıcı, düzeltmeyi desteklenen tüm dallara geri taşıdı. En açıkta olan siteler, yamalanmamış bir çekirdeği etkilenen bir tema ve gevşek bir PHP yapılandırmasıyla birleştirenler. Gözlemlenen kampanya belirli bir sektöre odaklanmadı; geniş çaplı keşif yaptı, bu yüzden küçük ve orta ölçekli kurulumlar büyükler kadar hedef olmaya aday.

Yazıda atıf yapılan ZoomEye rakamları, WordPress olarak parmak izi tespit edilen yaklaşık sekiz milyon varlık gösteriyor ve yazı anında CVE'nin kendisi için sıfır sonuç bulunuyor. Gönderi bu uyuşmazlığı düşük maruziyete değil, dizinleme gecikmesine bağlıyor: CVE başına arama yetişmeden önce bile saldırı trafiği dolaşımda bulunuyordu.

Operatörler ne yapmalı

İlk adım, gecikmeden 7.1.2'ye ya da kurulu dal için geri taşınmış sürüme güncellemek. Ardından operatörler kampanyanın göstergelerini aramalı: template parametrelerinde geçiş dizileri taşıyan istekler, web sunucusundan kod barındırma alan adlarına giden bağlantılar ve diske yeni yazılan PHP dosyaları. Bunlardan herhangi biri mevcutsa, PHP kullanıcısının erişebildiği kimlik bilgileri değiştirilmeli.

Neden önemli

Hikâye hatadan çok saatten ibaret. Sömürü, yamadan yaklaşık bir gün içinde başladı; bu, saldırganların sürüm notlarını takip ettiği ve birçok kuruluş yamalayamadan bunları silaha dönüştürdüğü anlamına geliyor. WordPress'ün devasa kurulum tabanı — yalnızca tek bir arama motorunda yaklaşık sekiz milyon açıkta olan varlık — yamalanmamış sitelerin küçük bir kısmını bile cazip bir hedef hâline getiriyor.

Mekanizmalar savunmacılar için de bir ders barındırıyor: dosya dahil etmeden kod çalıştırmaya giden yol, birçok kurulumun ihtiyaç duymadığı register_argc_argv gibi bir PHP ayarına bağlı. Bunu devre dışı bırakmak ve benzer sertleştirme adımları uygulamak, yamalama yetişene kadar etki alanını daraltıyor. Son olarak, ZoomEye'ın ürün sayısı ile CVE başına sayısı arasındaki fark, dizinlemenin gerçekliğin gerisinde kaldığının bir hatırlatıcısı; sıfır sonuç asla her şey yolunda işareti olarak okunmamalı.