SGB'den 87 WordPress Açığı Uyarısı: Çekirdek ve Avada da Listede

Güncelleme (2 Kasım 2026, 12.09 TSİ): İlk sürümde açıkların fiili saldırılarda kullanıldığına dair bilgi olmadığını yazmıştık. Bu, çekirdek açığı için eksikti: Wordfence, 29 Ekim'de WordPress çekirdeğindeki CVE-2026-119977'yi istismar etmeye yönelik saldırı denemeleri tespit ettiğini açıkladı. Bunlar deneme; başarılı bir ele geçirme olduğu doğrulanmış değil. Açık, 2 Kasım itibarıyla CISA KEV kataloğunda yer almıyor. WordPress çekirdeğini 7.1.4'e ya da kullandığınız dalın güvenlik sürümüne yükseltin.

Siber Güvenlik Başkanlığı (SGB), 2 Kasım 2026'da yayımladığı TR-26-1433 kodlu «WordPress Eklenti Güvenlik Bildirimi»nde 87 güvenlik açığını listeledi. SGB, kullanıcı ve sistem yöneticilerinden yayımlanan dokümanları incelemelerini ve gerekli önlemleri ivedilikle almalarını istedi. Listenin büyük bölümü eklentilerden oluşuyor. WordPress çekirdeğine ve popüler Avada temasına ait birer kayıt da listede yer alıyor.

Bildirimde neler var

SGB'nin duyurusunda «Bazı WordPress eklentilerinde güvenlik zafiyetleri tespit edilmiştir.» ve «Mevcut zafiyetler nedeniyle hedef sistemlerin siber saldırganlar tarafından saldırıya uğraması ihtimal dahilindedir.» ifadeleri yer alıyor. Bildirimde 87 CVE (ortak açık kimliği) kodu sıralanıyor, kaynak olarak Wordfence, Patchstack ve WPScan gösteriliyor.

CVE kayıtlarını yayımlayan kuruluşların verdiği CVSS (0–10 arası önem puanı) değerlerine göre açıklardan 5'i kritik, 34'ü yüksek, 43'ü orta önemde. 5 kaydın puanı bulunmuyor. Açık türleri arasında dosya yükleme, kod çalıştırma, yetki yükseltme (düşük yetkili hesabın yönetici yetkisi kazanması), SQL enjeksiyonu ve XSS (siteye zararlı betik yerleştirme) var. En yüksek puanı (9,8) alan iki kayıt, oturum açmamış bir saldırganın sunucuda kod çalıştırabilmesine yol açabilen PDF Invoice for WooCommerce ve SimpleForm eklentilerine ait. WordPress.org verilerine göre bu iki eklentinin kurulum sayısı düşük (500'den ve 30'dan fazla).

Listedeki yaygın eklentiler

WordPress.org'daki etkin kurulum sayıları ve CVE kayıtlarına göre listedeki yaygın eklentiler şunlar:

• All in One SEO — 2 milyondan fazla kurulum — oturum açmamış birinin yazılara ait gizli alanları (API anahtarları dahil) görebilmesi (CVSS 5,3) — 5.0.3 ve öncesi etkileniyor, güncel sürüm 5.0.4.
• Essential Addons for Elementor — 1 milyondan fazla — yetki yükseltme (CVSS 7,4) — 6.8.7 ve öncesi, güncel sürüm 6.8.8.
• Spectra (Gutenberg blokları) — 1 milyondan fazla — oturum açmadan tema dosyalarının silinebilmesi (CVSS 6,5) — 2.20.4 ve öncesi, güncel sürüm 2.20.5.
• W3 Total Cache — 900 binden fazla — yalnız belirli ayarlarda çalışan iki XSS kaydı (CVSS 7,2 ve 5,4) — 2.10.7 ve öncesi, güncel sürüm 2.11.0.
• Redux Framework — 900 binden fazla — XSS (CVSS 6,4) — 4.5.15 ve öncesi, güncel sürüm 4.5.16.
• Forminator — 600 binden fazla — başka kullanıcılara ait kayıtlı form taslaklarının silinip üzerine yazılabilmesi; saldırganın taslak kimliğini ele geçirmiş olması gerekiyor (CVSS 7,5) — güncel sürüm 1.58.3 etkilenmiyor.
• Ninja Forms — 500 binden fazla — 4 kayıt, en yüksek puanlısı XSS (CVSS 7,2) — 3.15.5 ve öncesi, güncel sürüm 3.15.7.
• NextGEN Gallery — 300 binden fazla — oturum açmış ve galeri yetkisi olan bir kullanıcının kod çalıştırabilmesi (CVSS 8,8) — 4.4.1 ve öncesi; ayrı bir XSS kaydı daha yeni sürümleri de kapsıyor, güncel sürüm 4.5.5 ikisinden de etkilenmiyor.
• Popup Builder — 200 binden fazla — oturum açmamış birinin sitedeki tüm açılır pencereleri çöpe taşıyabilmesi (CVSS 9,1) — 4.4.5 ve öncesi, güncel sürüm 4.4.6.

WordPress çekirdeği ve Avada

CVE-2026-119977 kaydına göre WordPress çekirdeğinin 4.7 ile 7.1.3 arasındaki sürümlerinde, tam paket çekirdek güncellemesi sırasında kullanılan geçici dizin yolları tahmin edilebiliyor ve web'den erişilebiliyor. Bu durum, güncelleme sürerken oturum açmamış bir saldırganın sunucuda kod çalıştırmasına imkân tanıyor (CVSS 8,1). Kayda göre 7.1.4 sürümü etkilenmiyor. Bu sürümün ayrıntılarını WordPress 7.1.4 güncellemesi haberimizde aktarmıştık.

Ticari Avada teması için yayımlanan CVE-2026-115346 kaydına göre 7.16.2 ve öncesi sürümlerde oturum açmamış bir saldırgan çalıştırılabilir dosya yükleyebiliyor. Bu da uzaktan kod çalıştırmayı mümkün kılıyor (CVSS 8,1). Kayıt, üreticinin 27 Ekim 2026'da yayımladığı 7.16.4 güvenlik güncellemesi duyurusuna bağlantı veriyor. Avada bu sürümde Avada Forms yükleme alanlarındaki olası bir uzaktan kod çalıştırma açığını giderdiğini açıkladı.

Saldırılarda kullanıldı mı

SGB bildiriminde ve CVE kayıtlarında açıkların fiili saldırılarda kullanıldığına dair bir bilgi yer almıyor. Ancak Wordfence, 29 Ekim'de yayımladığı yazıda listedeki çekirdek açığı CVE-2026-119977'yi istismar etmeye yönelik denemeler tespit ettiğini açıkladı. The Hacker News'in aktardığına göre Wordfence, 24 saat içinde bu açığı hedef alan 62.969 saldırı denemesini engelledi. Bunlar saldırı denemesi; başarılı bir ele geçirme olduğu doğrulanmış değil. Wordfence'e göre saldırının başarılı olması için çekirdek güncellemesinin açıldığı kısa zaman aralığının yakalanması gerekiyor; saldırganlar bu anı yakalamak için siteleri tekrar tekrar yokluyor. 87 kaydın hiçbiri, 2 Kasım itibarıyla ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı'nın (CISA) bilinen istismar edilmiş açıklar kataloğunda (KEV) bulunmuyor. SGB ise mevcut zafiyetler nedeniyle sistemlerin saldırıya uğramasının ihtimal dahilinde olduğunu belirtiyor.

Türkiye açısından

Bildirim, SGB'nin Türkiye'deki kullanıcı ve sistem yöneticilerine yönelik resmi güvenlik bildirimlerinden biri. Kaynaklarda Türkiye'den etkilenen belirli bir kurum ya da site bilgisi yer almıyor. SGB, 21 Ekim'de de WordPress eklentilerine yönelik bir bildirim yayımlamıştı. Eklenti ve temalar çekirdekten ayrı güncellendiği için yalnız WordPress'i güncellemek yetmiyor. Güncellenmeyen tek bir bileşen bile siteyi riske atabiliyor.

Ne yapmalısınız

• Güncellemeye başlamadan önce sitenizin dosyalarını ve veritabanını yedekleyin.
• Yönetim panelinde Eklentiler ve Temalar sayfalarındaki bekleyen güncellemeleri yükleyin.
• WordPress çekirdeğini 7.1.4 ya da daha yeni bir sürüme yükseltin. Eski bir dal kullanıyorsanız o dalın güvenlik sürümüne geçin (ör. 7.0.8, 6.9.11, 6.8.12); çekirdek açığına yönelik saldırı denemeleri raporlandı.
• Avada kullanıyorsanız temayı 7.16.4 ya da daha yeni bir sürüme güncelleyin.
• Kullandığınız bileşenleri SGB bildirimindeki CVE kodlarıyla ya da Wordfence, Patchstack ve WPScan veritabanlarında kontrol edin.
• Kullanmadığınız eklenti ve temaları devre dışı bırakmakla yetinmeyip tamamen silin.

Kaynaklar

• Siber Güvenlik Başkanlığı — TR-26-1433 WordPress Eklenti Güvenlik Bildirimi (2 Kasım 2026)
• CVE.org — CVE-2026-119977, WordPress çekirdeği (31 Ekim 2026)
• Wordfence — WordPress 7.1.4 güvenlik sürümü ve saldırı denemeleri (29 Ekim 2026)
• The Hacker News — WordPress RCE Flaw Draws Nearly 63,000 Attack Attempts in Just 24 Hours (30 Ekim 2026)
• CVE.org — CVE-2026-115346, Avada teması (30 Ekim 2026)
• Avada — Version 7.16.4 Security Update (27 Ekim 2026)
• Wordfence — Threat Intelligence açık veritabanı
• Patchstack — açık veritabanı
• WPScan — WordPress eklenti açık veritabanı

Kapak görseli (temsili): «WordPress 6.4 Dashboard» — WordPress Foundation, GPL, Wikimedia Commons (1200×675 kırpıldı).