WordPress Super Forms ve Elementor Pro'daki kimlik doğrulaması gerektirmeyen RCE açığına 440.000'den fazla saldırı

Ne oldu

Güvenlik araştırmacısı Jason Miller'ın dev.io'da yayımladığı yazıya göre, WordPress güvenlik firması Wordfence, yaygın olarak kullanılan WordPress eklentilerindeki iki uzaktan kod çalıştırma açığına yönelik 440.000'den fazla sömürü girişimini engelledi. İkisi arasında daha kritik olanı, Super Forms eklentisindeki açık, saldırgandan hiçbir şey talep etmiyor: hesap yok, çalınmış oturum yok, ele geçirilmiş nonce yok. Kimlik doğrulaması gerektirmeyen iki HTTP isteği kod çalıştırma için yeterli.

Kampanya hem ölçeği hem de fırsatçı doğasıyla dikkat çekiyor. Wordfence, her biri kabaca on kaynak IP'den gelen, her iki eklentiye paralel şekilde yürütülen saldırılar kaydetti; yalnızca Super Forms'a yönelik saldırılar tek bir günde yaklaşık 40.000 istekte zirveye ulaştı. Miller'ın yorumuna göre kimse belirli hedefler seçmiyor — etkilenen eklentileri çalıştıran her sunucu aday konumunda.

İki istek, bir webshell

CVSS puanı 9.8 olan ve CVE-2026-14894 olarak takip edilen Super Forms açığı, eklentinin submit_form AJAX işleyicisinde yer alıyor; Miller'ın bildirdiğine göre bu işleyici dosya türü doğrulaması yapmıyor ve hiçbir kullanıcı yetkisi denetlemiyor.

Nonce denetiminin olmaması normalde saldırganları yavaşlatır, çünkü geçerli nonce'ların işlenmiş sayfalardan çıkarılması gerekir. Ancak Super Forms ayrıca, anonim bir ziyaretçiye talebi üzerine geçerli bir nonce ve oturum çerezi veren super_create_nonce adında ikinci bir kimlik doğrulaması gerektirmeyen AJAX aksiyonu da barındırıyor.

Ortaya çıkan zincir son derece yalın: ilk istek nonce'u üretiyor, ikincisi ise data:image/gif;base64 önekiyle gizlenmiş Base64 kodlu bir PHP yükünü ve saldırganın seçtiği bir .php dosya adını taşıyarak admin-ajax.php'e POST yapılıyor. Yabanıda gözlemlenen Mushr00w_upl.php yükü, komut çalıştırmak ve yeni yönetici hesapları oluşturmak için kullanılan bir uploader webshell. Açık Super Forms 6.3.314 sürümünde giderildi.

Elementor Pro yükleme atlatması

CVE-2026-32475 olarak takip edilen ikinci açık, Elementor Pro'da eksik bir denetim değil bir parser hilesi. File Upload alanını bir dizi olarak göndermek — ilk öğesi boş, ikincisinde PHP yükü bulunan — yükün doğrulamayı atlatıp doğrudan talep edilebileceği /wp-content/uploads/elementor/forms/ dizinine yerleşmesini sağlıyor.

Burada tek bir ön koşul var: sitede File Upload alanlı bir Form widget'ı içeren yayımlanmış bir sayfa bulunması gerekiyor. Miller, durumun açığın bazı yerlerde 9.0, bazı yerlerde 9.8 puanlanmasının olası açıklaması olduğunu söylüyor ve ön koşulu bir koruma olarak görmeye karşı uyarıyor. Yükleme alanları iletişim ve teklif formlarında yaygın olduğundan, yamasız bir site bir editör böyle bir alan eklediği anda sömürülebilir hale geliyor. Düzeltme Elementor Pro 4.2.2 sürümünde geliyor.

Önce yamayla, sonra aramayla

Yazı sıralama konusunda net: önce yeni yüklemeleri durdurmak için yamayı uygulayın, ardından ele geçirilme izini arayın; çünkü yamadan önce yerleştirilen bir webshell güncellemeden sonra da varlığını sürdürür.

Miller'ın önerdiği denetimler arasında erişim kayıtlarında super_create_nonce aksiyonunu ve Elementor form yükleme dizini altındaki .php dosyalarını aramak, wp-content/uploads içinde oraya ait olmayan hiçbir PHP, .phtml veya .phar dosyası olmadığından emin olmak için taramak yer alıyor. Ayrıca yönetici hesaplarını listelemeyi ve tanıdık olmayanları sorgulamayı da öneriyor; zira sahte yönetici oluşturma, gözlemlenen sömürü sonrası davranışın parçasıydı. Bir shell bulunduğunda tavsiye, sunucuyu izole etmek, ilk şüpheli kayıt girişinden öncesine ait bir yedekten geri dönmek ve makinedeki tüm kimlik bilgilerini değiştirmek yönünde.

Bir uyarı daha Wordfence'un kendi güvenlik duvarıyla ilgili. Yeni kurallar önce premium müşterilere ulaşıyor; ücretsiz katman yaklaşık 30 gün sonra takip ediyor, dolayısıyla ücretsiz katman kullanıcıları kampanyanın zirvesi sırasında hiçbir kurala sahip değildi. Dahası, çalışan bir kural bile var olmadan önce bırakılmış bir shell üzerinde hiçbir şey yapmaz. WAF yamalama zamanı kazandırır; asıl çözüm güncellemedir.

Neden önemli

Popüler bir eklentide kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırma, WordPress'te karşılaşılabilecek en kötü senaryolardan biri ve bu açık alışılmış engelleri tamamen ortadan kaldırıyor. Şimdiden kaydedilen hacim kitlesel sömürüye işaret ediyor ve Miller, bu denli yalın bir yazıyı çalışan bir tarayıcıya dönüştürmenin önemsiz olduğunu savunuyor. Bu eklentilerden birini çalıştıran site sahipleri aynı gün yamalamayı varsayılan yaklaşım olarak görmeli, Elementor sayfalarını File Upload alanları açısından denetleyerek bir editör böyle bir alan eklemeden önce maruziyetlerini anlamalı ve bir güvenlik duvarı engelinin temiz bir site ile aynı şey olmadığını unutmamalı.