Güncelleme Sırasında Etkin Sömürülen WordPress Açığı Düzeltmesi Bazı Siteleri Kısa Süreliğine Açık Bırakabilir

Bazı WordPress siteleri, etkin olarak sömürülen bir açığın düzeltmesini kurarken hâlâ saldırıya uğrayabilir; bunu açığı bulan Picus Security araştırmacısı Umut Bayram söylüyor. Düzeltmeyi kuran güncelleme hâlâ sitenin eski, yamalanmamış kodunu kullanarak dosyaları açar, bu yüzden doğru anda saldıran bir saldırgan sunucuda kod çalıştırabilir. Açık CVE-2026-119977 olarak takip ediliyor ve WordPress 4.7 ile 7.1.3 sürümlerini etkiliyor.

Güncelleme Penceresi Neden Önemli

WordPress düzeltmeyi geçen hafta 7.1.4 sürümünde ve 4.7'ye kadar geriye giden uyumlu güncellemelerde yayımladı. CISA açığı bu hafta başında bilinen sömürülmüş güvenlik açıkları kataloğuna ekledi. Tam paket çekirdek güncellemesi sırasında WordPress, wp-content/upgrade içindeki geçici bir klasöre kurulum dosyası da dahil olmak üzere yeni sürümün bir kopyasını açar ve web sunucusu genellikle ona erişebilir. Klasör adını belirleyebilen ve silinmeden önce kurulum dosyasına erişebilen hesapsız bir saldırgan kod çalıştırabilir. Düzeltme klasör adını rastgele hale getirir, ancak onu kuran güncelleme eski kodu kullanır. 5.9 veya sonraki sürümlerde bu eski kod klasörü indirilen dosyanın adıyla adlandırır, bu yüzden ad son kez tahmin edilebilir. Düzeltmeden önce saldırgan, kurulum dosyası üzerinden geçici kopyaya yeni bir yapılandırma dosyası olan wp-config.php yazabiliyor ve güncelleme daha sonra sitenin gerçek dosyasının üzerine o dosyayı yazıyordu; bunu durduran düzeltme parçası ise güncelleme sırasında zaten çalışıyor, çünkü WordPress dosyaları yeni kodla yerine taşıyor. Bu pencere sırasında saldırgan, geçici kopyayı kendi veritabanıyla kurabilir, oturum açabilir ve silinmeden önce web sunucusunun izinleriyle PHP çalıştırabilir; ardından canlı site dosyalarını okuyabilir veya yazabilir.

Kim Etkilenir

Her güncelleme kurulum dosyasını açık etmez. Tam paketler onu her zaman içerir; kısmi paket yalnızca kurulum dosyalarını içeriyorsa bir siteyi açık eder. Otomatik güncellemeler aynı güncelleyiciyi kullanır. The Hacker News, WordPress.org'un güncelleme hizmetini birkaç sürüm için kontrol etti: bir dal içinde, örneğin 7.1.3'ten 7.1.4'e, otomatik güncellemeler dahil kısmi paket sundu ve daha eski bir daldan, örneğin 7.0.7'den 7.1.4'e, yalnızca tam paketler sundu. 4.4 ile 5.8 sürümlerinde eski kod, sızmazsa klasör adını gizleyen rastgele karakterler ekler. 7.1.4 veya dal düzeltmesi kurulduktan sonra sonraki güncellemeler rastgele bir ad kullanır ve geçici kopyadaki wp-config.php hiçbir zaman gerçek dosyanın üzerine yazılmaz. Bayram, kısmi bir paketin açığa çıkarıp çıkarmamasının o paketin ne içerdiğine bağlı olduğunu ve sağlama toplamları eşleşmezse veya yeniden kurulum sırasında sitenin tam pakete geri döndüğünü söyledi. Belirleyici etken, kurulu güncelleyicinin zaten düzeltilmiş olup olmamasıdır.

Yöneticiler Ne Yapmalı

Bayram, güncellemeden önce wp-content/upgrade için web erişimini engellemeyi önerir. WordPress bu klasörü doğrudan diskte kullanır, bu yüzden web erişimini engellemek güncellemeleri bozmaz. Nginx'te location ^~ /wp-content/upgrade/ { deny all; } ekleyin. Apache'de bir dizin bloğuna Require all denied ekleyin. .htaccess dosyasında yeniden yazma kurallarının üstüne RedirectMatch 403 ^/wp-content/upgrade/ ekleyin, ancak eski güncelleyici onu sildiği için .htaccess dosyasını klasörün içine koymayın. Bir isteğin 403 döndürdüğünü doğrulayın. 7.1.4'e veya dal için düzeltilmiş sürüme güncelleyin. Web kökünün dışında elle yapılan bir güncelleme de güvenli bir yoldur. WP-CLI wp core update yerine geçmez. WordPress 4.6 ve öncesi güvenlik güncellemesi almaz ve açık 2008'de yayımlanan 2.7 sürümüne kadar uzanır.

Sömürü ve Kontroller

CISA katalog eklemesini etkin sömürü kanıtına dayandırdı, ancak saldırıları tanımlamadı. CVE tanımlayıcısını atayan WordPress güvenlik şirketi Wordfence, sürüm gününde güvenlik duvarı kuralını devreye aldıktan dokuz dakika sonra denemelerin başladığını gördü; en yoğun iki kaynak yaklaşık 14,5 saat boyunca küçük site gruplarını kontrol etti ve şirkete göre bu, bir sitenin güncellendiği anı yakalama girişimleriyle örtüşüyor. CVE kaydındaki puanı CVSS ölçeğinde 10 üzerinden 8,1'dir, WordPress ise açığı düşük olarak derecelendirir. Yazarlarının açık için istismar olarak tanımladığı kod herkese açık GitHub depolarında ortaya çıktı ve biri, kodunun tam paket güncellemelerinde hâlâ tahmin edilebilir bir klasör kullanan sitelerde de çalıştığını söylüyor; kodun çalışıp çalışmadığı ise belirlenmedi. wp-content/upgrade altında beklenmeyen PHP isteklerini, kimsenin tanımadığı yönetici hesaplarını, kimsenin kurmadığı eklentileri ve oraya kimsenin koymadığı PHP dosyalarını kontrol edin.

Kaynaklar: The Hacker News