Sıradan Bir Yorum Sunucunuzu Ele Geçirebilir: WordPress'te Comment2Shell Açığı Geçen saatlerde The Hacker News'te yayımlanan bir habere göre, WordPress çekirdeğinde "Comment2Shell" adı verilen ve anonim bir yorumun, oturum açmış bir yöneticinin oturumu üzerinden sunucuda kod çalıştırmaya kadar zincirlenebildiği bir açık tespit edildi. Açığın özü şu: "CVE-2026-93485" olarak takip edilen ve açığa bu ismi veren güvenlik araştırmacısı Rafie Muhammad tarafından bildirilen zafiyet, WordPress'in yorumları işleme biçimindeki bir zamanlama boşluğundan kaynaklanıyor. WordPress bir yorumu kaydederken tehlikeli HTML içerip içermediğini kontrol ediyor, ancak sayfa görüntülenirken bu yorumu yeniden biçimlendiriyor; açık tam olarak bu iki adım arasındaki boşlukta yatıyor. Kullanılan yöntem oldukça ustaca: saldırgan, izin verilen bir HTML etiketinin özniteliği içine bir satır sonu (line break) yerleştiriyor. WordPress yorumu görüntülemek için yeniden biçimlendirdiğinde, bu adımlardan biri etiketi parçalayıp saldırganın metnini tarayıcının canlı bir olay işleyicisi (event handler) olarak yorumlayacağı bir konuma taşıyor. Böylece anonim bir kullanıcı, herhangi bir hesaba ihtiyaç duymadan kalıcı (stored) bir XSS yerleştirebiliyor; bu XSS, sayfa oturum açmış bir yönetici tarafından açıldığında tetikleniyor ve yöneticinin oturumunu kullanarak bir web shell yüklüyor. Buradaki asıl kritik nokta çerezlerin zayıflığı değil; XSS yöneticinin kendi tarayıcısında çalıştığından istekler oturum bilgisini otomatik olarak taşıyor, gerçek eksiklik ise yükleme adımında CSRF token kontrolünün bulunmaması. Tüm bunların sonucunda bu açıktan yararlanan bir saldırgan: Herhangi bir WordPress hesabına ihtiyaç duymadan, yalnızca sıradan bir yorum bırakarak saldırı zincirini başlatabilir Kötü amaçlı yorumun bulunduğu sayfayı bir yöneticinin açmasını beklemek dışında herhangi bir etkileşime gerek duymaz Yöneticinin kimliğine bürünmeden, doğrudan onun oturumunu kullanarak sunucuya bir web shell yükleyebilir ve sunucu tarafında kod çalıştırabilir Patchstack'in CVSS ölçeğinde 7,1 puan verdiği bu açığı, herhangi bir eklentiye ihtiyaç duymadan doğrudan WordPress çekirdeğinde istismar edebilir WordPress, açığı 17 Eylül 2026'da yayımlanan 7.1.1 sürümüyle giderdi ve site sahiplerine derhal güncelleme yapmalarını bildirdi. Açığın vahşi ortamda istismar edildiğine dair herhangi bir belirti bulunmuyor ve ABD hükûmetinin aktif olarak istismar edilen açıklar listesinde de yer almıyor. Yine de yorumlara açık bir WordPress siteniz varsa güncellemeyi öncelikli olarak uygulamanız öneriliyor; "yorumları moderasyondan geçiriyorum" düşüncesi bu açığa karşı tek başına yeterli bir koruma sağlamıyor, çünkü kötü amaçlı yorum görünürde tamamen zararsız görünebiliyor. Kaynak: https://thehackernews.com/2026/09/wordpress-comment2shell-flaw-can-turn.html Siz bu açık veya Comment2Shell hakkında ne düşünüyorsunuz? Hiçbir "egzotik" istismar tekniği içermeyen, yalnızca bir yorum formunun beklenmedik şekilde davranmasına dayanan bu tür sessiz açıkların, gürültülü sıfır günlerden çok daha sinsi bir tehdit oluşturduğunu düşünmüyor musunuz?