Ne oldu
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA, WordPress çekirdeğindeki CVE-2026-119977 numaralı açığı Bilinen İstismar Edilen Açıklar (KEV) kataloğuna ekledi ve açığın sahada aktif biçimde kullanıldığını doğruladı. CVSS 8,1 puanlı açık bir TOCTOU, yani kontrol anı ile kullanım anı arasındaki yarış durumu. Yamalar geçen ayın sonlarında yayımlanmıştı. CISA'nın tanımına göre açık, kimlik doğrulaması olmayan saldırganların sitenin tam paket çekirdek güncellemesi sırasında sunucuda kod çalıştırmasına izin veriyor.
Kimler etkileniyor
Etkilenenler, çekirdek güncellemelerini tam paket olarak yapan WordPress sitelerinin yöneticileri. Saldırının işleyebilmesi için güncelleme penceresinin açık olması gerekiyor; yani risk, güncelleme anında yoğunlaşıyor. ABD'de federal sivil kurumlara yamayı uygulamaları için 6 Kasım 2026'ya kadar süre tanındı. Türkiye'deki kurumsal siteler, e-ticaret vitrinleri ve haber siteleri için de aynı yama takvimi mantıklı bir hedef.
