Siber Güvenlik Başkanlığı (SGB), WordPress eklentilerindeki güvenlik zafiyetlerine karşı 13 Ekim 2026'da TR-26-1302 kodlu bir bildirim yayımladı. Bildirimde yer alan iki güvenlik açığının da Patreon'un geliştirdiği ve siteleri üyelik platformuna bağlayan Patreon WordPress (patreon-connect) eklentisinde bulunduğu kayıtlara geçti.
SGB bildiriminde, mevcut zafiyetler nedeniyle mevcut zafiyetler nedeniyle saldırganların bu açıkları kullanarak saldırı düzenleyebileceği belirtildi; kullanıcıların ve sistem yöneticilerinin ilgili belgeleri inceleyerek gerekli tedbirleri ivedilikle alması gerektiği belirtildi.
İki açık da siteler arası istek sahteciliğine dayanıyor
CVE kayıtlarına göre tespit edilen açıkların her ikisi de siteler arası istek sahteciliği (Cross-Site Request Forgery - CSRF) kategorisinde yer alıyor. Bu yöntem, oturum açmış bir kullanıcının hazırlanan bir bağlantıya tıklaması gibi etkileşimler üzerinden, tarayıcısından habersiz istek gönderilmesine yol açabiliyor.
Kayıtlarda açıkların ayrıntıları şu şekilde sıralandı:
- CVE-2026-108479: 1.9.17 ve önceki sürümleri etkiliyor. CVE kaydına göre CVSS 3.1 puanı 8.1 olan bu açıktan korunmak için eklentinin en az 1.10.0 sürümüne yükseltilmesi gerekiyor.
- CVE-2026-108481: 1.10.0 ve önceki sürümleri kapsıyor. CVE kaydına göre CVSS 3.1 puanı 7.4 olarak belirlenen bu açık için en az 1.11.0 sürümüne geçilmesi şart koşuluyor.
Korunmak için 1.11.0 ve üzeri gerekiyor
İki güvenlik açığından birden korunabilmek için Patreon WordPress eklentisinin 1.11.0 veya daha sonraki sürümlerine güncellenmesi gerekiyor. Resmi eklenti dizininde yer alan bilgilere göre eklentinin yayımlanan en güncel sürümü 1.12.0 seviyesinde bulunuyor.
Zafiyetlerin eklenti içerisindeki hangi işlem adımlarında tetiklendiği, kaç internet sitesinin etkilendiği veya açıkların sahada kullanılıp kullanılmadığı henüz bilinmiyor.
Kaynaklar
- T.C. Siber Güvenlik Başkanlığı — TR-26-1302 Güvenlik Bildirimi
- CVE.org — CVE-2026-108479 Kaydı
- CVE.org — CVE-2026-108481 Kaydı
- Patchstack — CVE-2026-108479 Güvenlik Analizi
- Patchstack — CVE-2026-108481 Güvenlik Analizi
- WordPress.org — Patreon WordPress Eklenti Sayfası
Kapak görseli: WordPress ve Patreon logoları / Wikimedia Commons, kamu malı (1200×675 uyarlandı).
.svg){kind=link}