"Tek Tık, Tam Ele Geçirme: WordPress Giriş Sayfasındaki XSS Açığı PHP Kod Yürütmeye Kadar Uzanıyor" Geçen saatlerde The Hacker News'te yayımlanan bir habere göre, WordPress, tüm sürümleri etkileyen ve kimlik doğrulaması gerektirmeyen (pre-auth) yansıtılmış (reflected) bir XSS açığını giriş ekranında yamaladı. Belirli koşullar altında bu açık, sunucu üzerinde PHP kod yürütmeye kadar zincirlenebiliyor. Açığın özü şu: "CVE-2026-64638" olarak takip edilen ve CVSS 8.9 (Yüksek) puan alan zafiyeti "pwn.ai" araştırma ekibi keşfetti ve teknik detayları The Hacker News ile paylaştı. Giriş sayfasındaki XSS, herhangi bir hesaba veya kurban etkileşimine ihtiyaç duymadan, özel hazırlanmış bir istek gönderildiğinde tetiklenebiliyor. Sorun, WordPress'in başarısız bir giriş denemesinden gelen kullanıcı adını işleme biçiminden kaynaklanıyor. Değer önce "sanitize_user()" ve PHP'nin "strip_tags()" fonksiyonuna dayanan "wp_strip_all_tags()" filtresinden geçiyor; açılış "<" karakterinden sonra boşluk içeren etiket benzeri bir dize bu ayrıştırıcıyı düz metin olarak atlatabiliyor. Daha sonra WordPress aynı değeri "wp_kses_post()" fonksiyonundan geçiriyor; ancak bu fonksiyonun kendi ayrıştırıcısı aynı girdiyi izin verilen HTML olarak yorumluyor. Sonuç olarak başarısız giriş sayfasında saldırgan kontrolündeki canlı DOM öğeleri oluşuyor. Bu öğeler, şifre sıfırlama işlemlerini de yönettiği için giriş sayfasında da yüklenen WordPress'in kendi "user-profile.js" betiğiyle etkileşime giriyor ve normalde tanımsız olan "ajaxurl" değişkenini enjekte edilen bir DOM öğesiyle ele geçirerek WordPress'in kendi JavaScript'ini saldırganın seçtiği bir REST isteğine yönlendiriyor. Araştırmacılar, WordPress'in REST JSONP desteğini kullanarak bu isteği site kökeninde çalışan JavaScript koduna dönüştürüyor; anonim REST isteklerinin HTTP 401 döndürdüğü kurulumlarda ise "_envelope=1" parametresi bu reddi dış HTTP 200 yanıtına sararak jQuery'nin yanıtı script olarak işlemeye devam etmesini sağlıyor. Nonce tabanlı ve "strict-dynamic" kullanan bir Content Security Policy bile bu saldırı yolunu engelleyemedi. Zincir, Paulos Yibelo'nun 2022 tarihli Same Origin Method Execution (SOME) araştırmasını temel alıyor. Tüm bunların sonucunda "XSS2Shell" adı verilen tam istismar zincirinde bir saldırgan: Giriş yapmış bir Yönetici oturumu içinde WordPress'in kendi Application Password onay kontrolünü tetikleyerek asıl şifreyi çalmadan bir API kimlik bilgisi elde edebilir Bu kimlik bilgisiyle kimlik doğrulamalı REST erişimi üzerinden aynı-origin JavaScript içeren kötü amaçlı bir sayfa yayımlayabilir; yönetici oturumu bu sayfayı açtığında eklenti yükleme nonce'unu ele geçirip zararlı bir ZIP dosyası yükleyebilir Yüklenen eklentiyi etkinleştirmeye gerek kalmadan, çıkarılan dizinden doğrudan PHP dosyası talep ederek kod çalıştırabilir Başarılı bir PHP yürütmesinin ardından "wp-config.php" içindeki veritabanı kimlik bilgilerini ele geçirebilir, kalıcı yönetici hesapları oluşturabilir, hassas dosyaları okuyabilir ve PHP işleminin yetkileriyle işletim sistemi komutları çalıştırabilir Bu tam zincirin çalışması için WordPress 5.6 ile gelen Application Passwords özelliğinin etkin olması, yöneticinin olağan "unfiltered_html" ve "upload_plugins" yetkilerine sahip olması, eklenti dizininin yazılabilir olması ve dosya değişikliklerini engelleyen bir sertleştirme önleminin bulunmaması gerekiyor; yalnızca temel XSS açığı tüm sürümleri kapsıyor. İlginç bir detay: pwn.ai'nin otonom sistemi bu zinciri açık kaynaklı modeller ve çoklu ajan iş akışıyla yaklaşık dört günde keşfedip yeniden üretti; zincir 26 Temmuz'da doğrulandı, ertesi gün WordPress'e bildirildi. Açık, 6 Ağustos'ta yayımlanan WordPress 7.0.3 ile giderildi, yama 4.7 dalına kadar geriye dönük uygulandı; W3Techs verilerine göre WordPress tüm sitelerin %41,2'sini çalıştırıyor. 7 Ağustos itibarıyla vahşi ortamda aktif istismar bildirilmedi. Kaynak: https://thehackernews.com/2026/08/new-wordpress-pre-auth-xss-could-lead.html Siz bu açık veya CVE-2026-64638 hakkında ne düşünüyorsunuz? Bir yapay zeka ajanının, on yıl önceki bir araştırmayı başlangıç noktası alarak dört günde bu denli katmanlı bir istismar zinciri üretebilmesi, güvenlik araştırmalarının hızının artık insan temposunu ne kadar geride bıraktığını gösteriyor değil mi?