WordPress altyapısında tespit edilen CVE-2026-119977 CVE-2026-100109 kodlu iki güvenlik açığı, web sitesi yöneticileri için ciddi risk oluşturuyor. Açıklardan biri WordPress çekirdeğinin güncellenmesi sırasında sunucuda uzaktan kod çalıştırılmasına kapı aralarken diğeri Security For WooCommerce eklentisi üzerinden saldırganların yönetici hesapları oluşturmasına izin veriyor. WordPress çekirdeğindeki sorun 7.1.4 sürümüyle giderilirken WooCommerce eklentisini kullanan sitelerin etkilenen sürümlerini kontrol etmesi gerekiyor.
Security For WooCommerce Eklentisi Yönetici Hesabı Oluşturulmasına İzin VeriyorWordPress güvenlik açıkları arasında en yüksek önem derecesine sahip sorun, Security For WooCommerce eklentisinde ortaya çıktı. CVE-2026-100109 koduyla takip edilen güvenlik açığına 10 üzerinden 9,8 önem derecesi verildi. Eklentinin 1.0.10 1.0.16 arasındaki sürümlerini etkileyen hata, kullanıcı hesabı oluşturma işlemlerindeki yetki denetiminin eksikliğinden kaynaklanıyor.
Eklentide kimlik doğrulaması yapmamış ziyaretçilerin erişebildiği işlem, yeni kullanıcı hesabı oluşturulmasına olanak tanıyor. Ancak ilgili işlem sırasında kullanıcının yetkileri kontrol edilmiyor. Üstelik saldırganlar, oluşturdukları hesabın rolünü kendileri belirleyebiliyor. nedenle saldırganlar herhangi kullanıcı hesabına sahip olmadan doğrudan yönetici yetkileriyle yeni hesap oluşturabiliyor.
Yönetici erişimi elde eden saldırganlar, WordPress kontrol panelinde geniş kapsamlı işlemler gerçekleştirebiliyor. yetki, web sitesinin içeriğinin değiştirilmesi, kullanıcı hesaplarının yönetilmesi site güvenliğinin tehlikeye atılması gibi sonuçlara yol açabiliyor. Özellikle çevrim içi satış yapan işletmeler açısından yönetici hesabının ele geçirilmesi, müşteri verileri e-ticaret operasyonları üzerinde ciddi risk oluşturuyor.
İkinci güvenlik açığı doğrudan WordPress çekirdeğini etkiliyor. CVE-2026-119977 kodlu sorun, 4.7 7.1.3 arasındaki WordPress sürümlerinde bulunuyor. Güvenlik açığının temelinde, çekirdek güncellemeleri sırasında kullanılan internet üzerinden erişilebilen geçici dosya yollarının tahmin edilebilir olması yatıyor.
WordPress, kapsamlı çekirdek güncellemeleri sırasında geçici hazırlık dizinleri oluşturuyor. Söz konusu güvenlik sorunu, saldırganların dizinlerin konumlarını tahmin ederek güncelleme sürecinde sunucu üzerinde uzaktan kod çalıştırmasına imkân tanıyabiliyor. Saldırı için kullanıcı kimlik doğrulaması gerekmemesi, açığın oluşturduğu riski artırıyor.
Ancak saldırı penceresi güncelleme işleminin devam ettiği süreyle sınırlı. nedenle güvenlik açığının istismar edilmesi, WordPress çekirdeğinin güncellenme sürecindeki belirli koşullara bağlı bulunuyor. Yine internet üzerinden erişilebilen geçici dosya yollarının kullanılması, web sunucularının güvenliği açısından önemli zafiyet oluşturuyor.
WordPress geliştiricileri, CVE-2026-119977 kodlu güvenlik açığını 28 Ekim 2026 tarihinde yayınlanan 7.1.4 sürümüyle giderdi. nedenle 7.1.3 daha eski sürümleri kullanan site yöneticilerinin çekirdek güncellemesini kontrol etmesi gerekiyor.
Security For WooCommerce tarafındaki sorun ise eklentinin 1.0.10 1.0.16 arasındaki sürümlerini ilgilendiriyor. eklentiyi kullanan site yöneticilerinin kurulu sürümü incelemesi, etkilenen sürümleri kullanmaları hâlinde güvenlik düzeltmesi bulunan güncel sürüme geçmesi gerekiyor. Kaynakta söz konusu eklenti için düzeltilmiş sürüm numarası belirtilmediğinden yöneticilerin eklentinin resmi güncelleme kayıtlarını kontrol etmesi önem taşıyor.
İki güvenlik açığı farklı bileşenleri etkilese ortak noktaları, saldırganların web sitesi üzerinde yüksek yetkilere ulaşabilmesine zemin hazırlamaları. WordPress yöneticilerinin yalnızca çekirdek yazılımını değil, eklentileri düzenli olarak güncellemesi gereksiz eklentileri sistemlerinden kaldırması gerekiyor.
