Siber Güvenlik Başkanlığı (SGB), WordPress eklentilerindeki 14 güvenlik açığı için TR-26-1358 numaralı bildirimi 20 Ekim 2026'da yayımladı; listede Rank Math SEO PRO 3.0.123'ün tedarik zinciri saldırısıyla zararlı kod içeren paketleri için açılan CVE-2026-111862 (CVSS 9,8) de yer aldı.
Rank Math tedarik zinciri kaydı
Bildirideki en yüksek puanlı açık olan CVE-2026-111862, 15 Ekim 2026 23:02 TSİ ile 16 Ekim 2026 10:12 TSİ arasında dağıtılan bazı Rank Math SEO PRO 3.0.123 paketlerini kapsıyor. Rank Math'e göre bu zaman aralığında indirilen paketlerin bir kısmı, eklenti etkinleştirilirse siteyi ele geçirebilecek zararlı yazılım içeriyordu; etkilenen paketi etkinleştiren siteler ele geçirilmiş sayılmalı. Bu kod parçası kalıcı erişim sağlayabiliyor, rank1cdn[.]com adresiyle iletişim kurabiliyor, sayfa açılışlarında gizli arka kapıları yeniden oluşturabiliyor ve veritabanı ile WordPress kimlik bilgilerini sızdırabiliyor. Olay daha önce Rank Math tedarik zinciri saldırısı haberiyle duyurulmuştu.
Ödeme eklentilerinde sahte onay açıkları
Bildiride WooCommerce tabanlı ödeme çözümlerine yönelik zafiyetler de yer aldı. 1.4.1 ve öncesi sürümleri etkileyen Coinbase Commerce Payment Gateway for WooCommerce eklentisinde webhook imza sırrının varsayılan olarak boş gelmesi nedeniyle sahte ödeme onayı üretilebiliyor. Benzer şekilde BDM Digital Payment Gateway (1.2.7–1.3.12) ve iPOSpays Payment Gateway for WooCommerce (1.4.7 öncesi) eklentilerinde kimlik doğrulaması yapmadan ödeme onayı sahteciliği yapılabileceği açıklandı. Snap Finance eklentisinde ise sipariş durumunun yetkisiz değiştirilebildiği bildirildi.
Bildiride yer alan diğer eklenti açıkları şunlardır:
- TrueBooker Appointment Booking: Müşteri kişisel verilerinin ifşası ve ayarların üzerine yazılması dahil dört ayrı yetkisiz işlem açığı.
- Document Gallery: Kalıcı XSS ve yetkisiz küçük resim değiştirme açıkları.
- App Builder, Subscribe to Comments ve Salon Booking System eklentilerindeki yetkisiz veri ve işlem açıkları.
Listede bulunan açıkların CISA'nın bilinen istismar kataloğunda yer almadığı aktarıldı. SGB, Wordfence, Patchstack ve WPScan kaynaklarındaki dokümanların incelenmesini ve gerekli önlemlerin ivedilikle alınmasını tavsiye etti. Site yöneticilerinin listedeki eklentileri kontrol edip güncellemesi gerekiyor. SGB, yakın dönemde TR-26-1354 numaralı WordPress eklenti bildirimini de paylaşmıştı.
Kaynaklar
- T.C. Siber Güvenlik Başkanlığı — TR-26-1358 WordPress Eklenti Güvenlik Bildirimi, 20 Ekim 2026
- CVE Program — CVE-2026-111862, 20 Ekim 2026
- Wordfence — Vulnerability Database
- Patchstack — Database
- WPScan — Plugins
Kapak görseli (temsili): WordPress logolu defter — Nikolay Bachiyski / Wikimedia Commons, CC BY 2.0 (1200×675 düzenlendi).
