wordpress'te kritik açık, saldırganlar çoktan işe koyulmuş

arkadaşlar, wordpress dünyasında yine fırtına koptu. CVE-2026-87902 denen bir açık bulunmuş ve saldırganlar hemen işe koyulmuşlar. yani açık açıklanır açıklanmaz, 2-3 saat içinde exploit kodları ortaya çıkmış. bu sefer ciddi ciddi hemen yamalayacaksınız, boş durma yok.

açık ne peki?

CVE-2026-87902 (CVSS: 9.2) denen bu belanın özü şu: wordpress’in get_page_template() fonksiyonunda bir açık var. kısacası, kimlik doğrulaması yapmadan bir saldırgan, sunucuda bulunan herhangi bir .php dosyasını okuyabilir ve hatta uzaktan kod çalıştırabiliyor (RCE denen şey). yani yetkilendirme yok, şifre yok, hiçbir şey yok. direkt saldırıyorlar.

spoiler: bu açık şu anda aktif olarak sömürülüyor. internet’te exploit kodları dolaşıyor. hemen yamalayacaksınız.

niye kritik?

• Sıfır yetkilendirme gerekli: kimse değilsiniz, açık var mı diye kontrol edebilirsiniz
• Uzaktan kod çalıştırma (RCE): yani sunucuya shell atabiliyorlar
• Çok yaygın platform: wordpress’i herkes kullanıyor, milyonlarca site etkileniyor
• CVSS 9.2: bu “acil acil yamalayın” demek

etkilenen sistemler

şimdi ne yapacaksınız:

1. Önce yedek alın (çok önemli!)

# wordpress dizinini yedekle
tar -czf wordpress-backup-$(date +%Y%m%d).tar.gz /var/www/html/wordpress/

# veritabanını yedekle
mysqldump -u wordpress_user -p wordpress_db > wordpress-db-backup-$(date +%Y%m%d).sql

# "sonra sıkıntı oldu" diye ağlamayın, yedek olmadan başlamayın

2. WordPress’i hemen güncelleyin

# wordpress dizinine gir
cd /var/www/html/wordpress

# wp-cli ile güncelle (en güvenli yol)
wp core update --allow-root

# veya manuel olarak:
# 1. wordpress.org'dan son sürümü indir
# 2. wp-content ve wp-config.php hariç her şeyi değiştir
# 3. veritabanı güncellemelerini çalıştır

3. Eklentileri de güncelleyin

# tüm eklentileri güncelle
wp plugin update --all --allow-root

# temalar da kontrol et
wp theme update --all --allow-root

4. Hemen log’ları kontrol edin

# apache/nginx log'larında şüpheli istekleri ara
grep -i "get_page_template\|page-template" /var/log/apache2/access.log

# veya nginx'te
grep -i "get_page_template\|page-template" /var/log/nginx/access.log

# .php dosyalarının okunup okunmadığını kontrol et
grep -i "\.php" /var/log/apache2/access.log | grep -v "normal istekler"

5. Dosya izinlerini kontrol edin

# wordpress dosyalarının izinleri doğru mu?
find /var/www/html/wordpress -type f -perm /022 -ls

# doğru izinler bunlar:
find /var/www/html/wordpress -type f -exec chmod 644 {} \;
find /var/www/html/wordpress -type d -exec chmod 755 {} \;

# wp-config.php özel olmalı
chmod 600 /var/www/html/wordpress/wp-config.php

geçici çözümler (yama yapana kadar)

eğer hemen yamalayamıyorsanız (ki yapmalısınız ama), şunları yapın:

1. WAF kuralı ekleyin

# nginx'te .htaccess yerine
location ~ /wp-admin/includes/ {
    deny all;
}

# get_page_template'i hedefleyen istekleri engelle
if ($request_uri ~* "get_page_template|page-template") {
    return 403;
}

2. Apache’de .htaccess

# .htaccess dosyasını wordpress kök dizinine koy
<FilesMatch "\.php$">
    # sadece belirli dosyalara erişim izin ver
    Order Deny,Allow
    Deny from all
    Allow from 127.0.0.1
</FilesMatch>

# veya bunu ekle
<IfModule mod_rewrite.c>
    RewriteEngine On
    RewriteCond %{QUERY_STRING} page-template
    RewriteRule ^(.*)$ - [F,L]
</IfModule>

3. İhtiyaç olmayan .php dosyalarına erişimi kapat

# wp-includes'a direkt erişim engelle
chmod 000 /var/www/html/wordpress/wp-includes/*.php

# sonra normal izinlere geri dön (ama bunu test ortamında yap)
chmod 644 /var/www/html/wordpress/wp-includes/*.php

edit: önemli notlar

• wordpress.org’dan resmi yama bekleyin, 26 eylül 2026’de çıkacak (yazı tarihi itibariyle)
• hosting sağlayıcınıza da haber verin, belki otomatik güncellemeleri açabilirler
• eklenti ve tema geliştiricilerine de dikkat edin, belki onlar da etkilenmiş olabilir
• cisa bu açığı kataloğuna almış, yani çok ciddi

spoiler: saldırganlar ne yapıyor?

• wp-config.php dosyasını okuyarak veritabanı şifreleri çalıyor
• wp-admin/includes/ dizinindeki dosyaları okuyarak wordpress yapısını öğreniyorlar
• shell dosyaları yükleyerek kalıcı erişim sağlıyorlar
• sitenizi kötü amaçlar için kullanıyor (spam, malware dağıtma vs)

kaynaklar

• The Hacker News - WordPress CVE-2026-87902
• CVE-2026-87902 - CVE Details
• WordPress Security - Resmi Güvenlik Sayfası
• WP-CLI Documentation

son söz: arkadaşlar, bu sefer “yarın yaparım” deme. bu açık ciddi ciddi, saldırganlar şu anda işe koyulmuşlar. en geç bugün içinde yamalayın. test ortamında deneyin, sorun yoksa canlıya geçin. yedek almadan başlamayın, sonra “bana sormayın” diye ağlamayın.

Bu içerik yapay zeka tarafından oluşturulmuştur.