WordPress 7.1.4 Güvenlik Sürümü: 22 Açık ve Güncelleme Rehberi

WordPress, 28 Ekim 2026'da yayımladığı 7.1.4 güvenlik sürümüyle 22 açığı kapattığını bildirdi ve siteleri hemen güncellemeye çağırıyor; duyuruda sömürüden söz edilmiyor.

Bir dizüstü bilgisayar ekranında bulanık arka planlı program kodu satırlarının yakın çekimi; temsili görsel, olay görüntüsü değildir

WordPress, 28 Ekim 2026'da 7.1.4 güvenlik sürümünü yayımladı. WordPress'in sürüm belgesine (HelpHub) göre güncelleme, 17 maddede toplanan 22 güvenlik açığını kapatıyor. Duyuru, bunun bir güvenlik sürümü olduğunu belirterek sitelerin hemen güncellenmesini öneriyor. WordPress'in duyurusunda ve sürüm belgesinde sömürüden söz edilmiyor.

Güncelleme nasıl yapılır

WordPress'in tarifine göre yönetim panelinde Güncellemeler (Updates) sayfasına girip «Update Now» düğmesine basmak yeterli. Otomatik arka plan güncellemesini destekleyen sitelerde güncelleme kendiliğinden başlıyor. Yeni sürüm WordPress.org üzerinden de indirilebiliyor.

Hangi sürümler etkileniyor

HelpHub'a göre 7.0 ve 6.9 dalları 22 açığın tamamından etkileniyor; eski dallarda sayı azalıyor: 6.8 ve 6.7 için 20, 6.6 için 19, 6.5 ve 6.4 için 17, 6.3'ten 5.9'a kadar olan dallar için 9, 5.8'den 5.0'a kadar olanlar için 6, 4.9 için 4, 4.8 ve 4.7 için 2. WordPress, 4.6 ve öncesinin artık güvenlik güncellemesi almadığını, yalnızca en yeni sürümün etkin biçimde desteklendiğini de hatırlatıyor.

Duyuru metni, eski dallara yapılan geriye dönük yamaların hazır oldukça yayımlanacağını söylüyordu. WordPress'in sürümler sayfasında ise 28 Ekim 2026 tarihiyle 4.7.39'a kadar tüm dallar için güncelleme listeleniyor.

Neler düzeltildi

HelpHub'daki liste şu türleri kapsıyor:

Çekirdek güncellemesi sırasında oluşan ve WordPress'in ifadesiyle uzaktan kod çalıştırmaya yol açabilecek bir yarış durumu (güncelleme süreci içindeki zayıflık; yükseltme penceresinde geçerli). Bildiren: Umut Bayram.
Bir kısmı Katkıcı (Contributor) ve üstü, bir kısmı Yazar ve üstü, biri de Editör ve üstü hesap gerektiren depolanmış XSS açıkları: blok sınırlayıcıları, Customizer, Interactivity API bağlamaları, Yorum Sayfalama ve Yazı Gezinti Bağlantısı blokları, kişisel veri silme istekleri ekranı ve Interactivity Router üzerinden yüklenen metin dosyaları. Kategoriler bloğunda ise biçim dizesi enjeksiyonu yoluyla XSS düzeltildi.
Interactivity API bağlamalarında Katkıcı ve üstü hesapla ilişkili hizmet reddi sorunları.
Yayımlanmamış Customizer değişikliklerinin kimlik doğrulaması olmayan ziyaretçilere açılması (bilgi ifşası). Bildiren: Antonio Lorensius Silaban.
Yorumları denetleyen özel rollerin, düzenleme yetkisi bulunmayan yazılardaki Notları okuyabilmesi, düzenleyebilmesi ve silebilmesi (yetki sorunu).
Sertleştirme düzeltmeleri: çok siteli kurulumda Ağ Kullanıcıları ekranında kaçışsız kullanıcı adları ile Image ve Playlist bloklarında güvensiz preg_replace() kullanımları.

Ayrıca WordPress'e paketlenmiş kök sertifikalar eMudhra'nın iptali nedeniyle güncellendi; WordPress bu kalemin 22'lik sayıya dahil olup olmadığını belirtmiyor. WordPress, açıkları bildirenler arasında Umut Bayram, Rafie Muhammad, Anthropic, rekter0 ve Antonio Lorensius Silaban'ı anıyor. 22 açığın madde madde dökümü WordPress'in sayfalarında yer almıyor.

Patchstack'in değerlendirmesi

Güvenlik şirketi Patchstack'in 28 Ekim 2026 tarihli analizine göre 17 danışmanın çoğu önce bir hesap gerektiriyor; bu hesap çoğunlukla Katkıcı düzeyinde. Hesap gerektirmeyen iki madde var: güncelleme sürecindeki yarış durumu ve Customizer değişikliklerinin ifşası. Patchstack, yarış durumunda saldırganın güncellemenin sürdüğü kısa pencereyi yakalaması gerektiğini, saldırı karmaşıklığını yüksek olarak puanladığını ve bunu «pratikte sömürülebilir» olarak nitelemeyeceğini söylüyor; yine de bu pencerenin otomatik arka plan güncellemeleri dahil her güncellemede yeniden açıldığını belirtiyor. Patchstack'e göre 17 danışmanın 7'si Interactivity API ile ilgili.

Patchstack'in önerileri iki adımdan oluşuyor: wp-content/upgrade/ klasörünün tarayıcıdan listelenemediğini ve erişilemediğini kontrol etmek ve Katkıcı ve üstü yetkiye sahip hesapları gözden geçirmek. Bu iki öneri WordPress'in değil, Patchstack'in.

Sömürü, CVE ve yaygınlık

WordPress'in duyurusunda ve sürüm belgesinde sömürüden söz edilmiyor. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı'nın (CISA) Bilinen Sömürülen Açıklar (KEV) kataloğunun 28 Ekim 2026 tarihli sürümünde bu sürümle ilişkilendirilebilecek bir kayıt görünmüyor; bu durum sömürü olmadığı anlamına gelmiyor. WordPress'in duyuru ve sürüm sayfalarında CVE numarası ya da CVSS puanı da bulunmuyor.

W3Techs'in 28 Ekim 2026 tarihli verilerine göre WordPress, içerik yönetim sistemi kullanan bilinen web sitelerinin %58,3'ünde, tüm web sitelerinin %39,5'inde çalışıyor; WordPress sitelerinin %67,4'ü 7. sürümü kullanıyor. Bu rakamlar küresel verilerdir.

Eylül 2026'da 7.1.2 ile kapatılan, kimlik doğrulaması gerektirmeyen şablon açığı bu sürümden ayrı bir olaydı; 7.1.4'ün notlarında ikisi arasında bir ilişki kurulmuyor. O olayı önceki haberimizde ele almıştık.