"WordPress'te Yama Sonrası Yarış Başladı: CVE-2026-87902 Açığı Saatler İçinde İstismar Edildi" Geçen günlerde The Hacker News'te yayımlanan bir habere göre, tehdit aktörlerinin WordPress'teki kritik bir güvenlik açığını, kamuoyuna açıklanmasından yalnızca birkaç saat sonra aktif olarak istismar edilmeye başlandığı tespit edildi. Açığın özü şu: "CVE-2026-87902" olarak takip edilen ve CVSS 9.2 puan alan zafiyet, kimliği doğrulanmamış bir saldırganın uzaktan kod yürütme elde etmesine olanak tanıyor. WordPress'in yayımladığı danışma bildirimine göre kimliği doğrulanmamış bir saldırgan, "get_page_template()" fonksiyonunun sayfa şablonu çözümleme sürecini manipüle ederek aktif tema dizinleri dışında, kendi seçtiği okunabilir bir yerel PHP dosyasını dahil edebiliyor. Sunucu ortamı ve aktif tema için gerekli ön koşullar sağlandığında bu durum doğrudan uzaktan kod yürütmeye yol açabiliyor. İstismarın başarılı olması için iki koşulun bir arada bulunması gerekiyor: aktif alt veya üst temanın, adı "page-" ile başlayan (örneğin "page-templates") üst düzey bir dizin içermesi ve sunucuda web sunucusu hesabı tarafından okunabilir, saldırganın seçtiği yerel bir PHP dosyasının (örneğin "pearcmd.php") bulunması. Güvenlik şirketi Previdian, The Hacker News ile paylaştığı açıklamada honeypot ağına yönelik CVE-2026-87902 istismar denemeleri gözlemlediğini, kötü amaçlı isteklerin ise ABD'nin New Jersey eyaletinde konumlanan bir IP adresinden (104.194.9.227) geldiğini belirtti. Bu istekler "/usr/local/lib/php/pearcmd.php" yerel PHP dosyasını dahil ediyor, "/tmp/" dizinine bir dosya yazıyor ve ardından GitHub üzerinde barındırılan bir PHP yükleme betiğini çağırıyor. Previdian'ın kurucusu ve CEO'su Ryan Dewhurst, açığın ciddiyetine rağmen bazı ön koşulların istismarı nispeten zorlaştırdığını, WordPress'in varsayılan olarak otomatik güncellemeleri etkin tuttuğunu belirtti; bu nedenle kitlesel istismar denemeleri görülse de gerçek ele geçirme vakalarının nispeten az kalmasının beklendiğini ifade etti. Tüm bunların sonucunda: Previdian'ın telemetri verilerine göre 23 Eylül 2026'dan itibaren toplam 68 istismar denemesi kaydedildi; bu denemelerin bir kısmı Endonezya kaynaklı bir IP adresinden de geldi WordPress güvenlik şirketi Patchstack, kötü amaçlı isteklerin zararsız çekirdek dosyalara yönelik bir keşif aşamasından, "pearcmd.php" dosyasını dahil edip diske PHP dosyası yazan aktif istismara doğru genişlediğini doğruladı İlk istismar girişimi, yamaların yayımlandığı gün olan 22 Eylül 2026'da UTC saatiyle 11:49'da kaydedildi; saldırganlar "/tmp" ve "/var/tmp" gibi konumlara "wp-pear-rce-flag.php", "poc87902.php" ve rastgele isimli dosyalar yazdı Açığa yönelik istismar trafiğiyle ilişkilendirilen çok sayıda farklı IP adresi tespit edildi; bu da saldırının tek bir kaynaktan değil, dağıtık ve fırsatçı bir tarama kampanyasından geldiğine işaret ediyor Aktif istismar göz önüne alındığında site yöneticilerinin WordPress 7.1.2 sürümüne (veya kendi dalları için 7.0.6, 6.9.9 ya da 6.8.10 sürümlerine) mümkün olan en kısa sürede güncelleme yapması ve sunucularını kötü amaçlı etkinlik belirtilerine karşı denetlemesi önemle tavsiye ediliyor. Kaynak: https://thehackernews.com/2026/09/attackers-exploit-wordpress-cve-2026.html Siz bu açık veya CVE-2026-87902 hakkında ne düşünüyorsunuz? Bir yamanın yayımlanmasından yalnızca birkaç saat sonra vahşi ortamda istismarın başlaması, kurumların artık "yama yönetimi" için ayırdığı süreyi gün değil saat cinsinden ölçmesi gerektiğini gösteriyor değil mi?