WordPress Siteleri Saldırı Altında: Golang RAT'lar ve Sahte Eklentilerle wp2shell Çığ Gibi Büyüyor Geçen günlerde The Hacker News'te yayımlanan bir habere göre, daha önce duyurulan wp2shell açık zinciri artık teoriden çıkıp gerçek saldırı kampanyalarına dönüştü. watchTowr'dan baş güvenlik araştırmacısı Jake Knott, Cumartesi sabahının erken saatlerinde (UTC) istismarın zaten tam hızda devam ettiğini; saldırganların önce hashlenmiş kimlik bilgilerini sızdırmak için herkese açık exploit kodunu kullandığını, ek teknik detaylar kamuoyuyla paylaşıldıktan sonra ise doğrudan uzaktan kod yürütmeye geçtiklerini belirtti. KEVIntel'in topladığı telemetri verilerine göre İsviçre, Almanya, İngiltere, Endonezya, Litvanya, Hollanda ve Singapur kaynaklı 13 farklı IP adresi CVE-2026-63030'un istismarıyla ilişkilendirildi. Açığın özü şu: Intruder'dan güvenlik mühendisi Ben Marr'a göre saldırı, tek bir HTTP isteğiyle kimlik doğrulaması gerektirmeyen SQL injection elde etmek için iki parçalı bir zincir kullanıyor. CVE-2026-60137 giriş noktası; REST API'nin batch (toplu) uç noktasındaki bir rota karışıklığı hatası, herhangi bir izin kontrolü yapılmadan iç işleyicilerin çağrılmasına ve kimlik doğrulamanın atlatılmasına imkân tanıyor. Sorun, WP_Query içindeki author__not_in parametresinin bir eklenti veya tema tarafından güvenilmeyen veriyle beslendiğinde düzgün temizlenmemesinden kaynaklanıyor. Cloudflare'in analizine göre CVE-2026-63030, yalnızca kalıcı nesne önbelleği (persistent object cache) kullanılmadığında kimlik doğrulamasız RCE'ye dönüşüyor; SQL injection bileşeni 6.8 sürümünden itibaren mevcutken RCE zinciri 6.9 ve sonrasını etkiliyor. İlginç bir detay da şu: exploit zincirini Searchlight Cyber, OpenAI'ın GPT-5.6 Sol modelini kullanarak yalnızca 10 saatte keşfetti. Google'ın Wiz ekibinin verilerine göre WordPress kullanan kurumların %60'ında bu CVE'ler yayımlandığı sırada en az bir savunmasız örnek bulunuyordu; %25'i ise bu savunmasız sunucuyu doğrudan internete açık tutuyordu. Yamalar uygulandıkça bu oranlar düşüş gösteriyor. Tüm bunların sonucunda saldırganların istismar sonrası gerçekleştirdiği eylemler arasında: Kötü amaçlı bir eklenti yükleme ve kullanıcı adı/e-posta bilgilerini toplama Veritabanı kimlik bilgilerini ve kimlik doğrulama anahtarlarını sızdırmak için Local File Inclusion (LFI) saldırıları gerçekleştirme Yönetici paneline erişip kimlik doğrulaması yapma ve uzaktan kod yürütmeyi sağlayan sade bir PHP web shell yükleme CMSmap adlı meşru bir güvenlik eklentisi gibi gizlenen, dosya yönetimi, veritabanı erişimi, port tarama, toplu kod enjeksiyonu ve MySQL UDF istismarı dahil ayrıcalık yükseltme modülleri barındıran 150 KB'lık tam donanımlı bir web shell dağıtma watchTowr, herkese açık exploit yayımlandıktan sonra saldırganların interneti ayrım gözetmeksizin taramaya başladığını ve honeypot'larının on binlerce istismar denemesi kaydettiğini bildirdi. Şu ana kadar 100'den fazla backdoor yönetici hesabı oluşturuldu; en az bir vakada saldırganın Golang tabanlı bir uzaktan erişim truva atı olan Overlord RAT'ı kurmaya defalarca çalıştığı gözlemlendi. Uzmanlar, sitesini yamalamış olsa bile her yöneticinin yeni yönetici hesapları, şüpheli eklentiler veya dosyalar açısından sistemini kontrol etmesini öneriyor. Kaynak: https://thehackernews.com/2026/07/wordpress-wp2shell-exploitation-grows.html Siz bu gelişme hakkında ne düşünüyorsunuz? Bir açığın keşfinden vahşi ortamda kitlesel istismara geçiş süresinin bu kadar kısalması, yama yönetiminin artık "birkaç gün bekleyebilirim" lüksünü tamamen ortadan kaldırdığını gösteriyor değil mi?