Forminator Eklentisindeki Kritik Açık WordPress Sitelerini Tehdit Ediyor

Popüler Forminator güvenlik açığı, dünya genelinde yüz binlerce WordPress sitesini etkileyebilecek ciddi bir güvenlik zafiyeti olarak ortaya çıktı. 600.000’den fazla aktif kurulumu bulunan Forminator Forms eklentisindeki bu kritik sorun, kimliği doğrulanmamış kötü niyetli aktörlerin siteler üzerinde uzaktan kod çalıştırmasına (RCE) olanak tanıyor. CVSS güvenlik derecelendirme sisteminde 9.8 gibi oldukça yüksek bir puanla değerlendirilen CVE-2026-15748 koduyla takip edilen bu açık, web sitesi yöneticileri için acil müdahale gerektiren bir tehdit oluşturuyor.

Geniş Kullanımlı Bir Eklentideki Risk Faktörü

WordPress ekosisteminde form oluşturma denince akla gelen ilk eklentilerden biri olan Forminator, kullanıcı dostu arayüzü ve geniş özellik yelpazesiyle yaygın bir kabul görmüştür. Sürükle-bırak arayüzü sayesinde kolayca iletişim formları, anketler, quizler ve hesaplama formları oluşturulabilmesi, popülaritesinin temel nedenlerindendir. Bu denli popüler bir aracın temel güvenlik mekanizmalarında yaşanan bir aksaklık, doğal olarak geniş bir kitleyi riske atmaktadır. Bir güvenlik araştırmacısı tarafından “daroo” takma adıyla keşfedilen ve bildirilen bu açık, formlar aracılığıyla dosya yükleme yeteneği sunan siteler için ciddi bir tehlike barındırıyor.

Eklentinin geniş kullanım alanı, saldırganlar için potansiyel hedef sayısını artırırken, elde edilebilecek zararın boyutunu da büyütmektedir. Zira uzaktan kod çalıştırma yeteneği, bir saldırganın site üzerinde tam kontrol sağlamasının önünü açabilir. Bu durum, sadece veri sızıntılarına değil, aynı zamanda sitenin tamamen ele geçirilmesine veya zararlı yazılımların dağıtım merkezi haline gelmesine yol açabilir. Bu tür kritik zafiyetler, eklenti geliştiricilerinin sürekli ve titiz güvenlik denetimlerinin ne kadar önemli olduğunu bir kez daha ortaya koymaktadır.

Uzaktan Kod Çalıştırma Açığının Derinlikleri

CVE-2026-15748 olarak bilinen bu güvenlik açığı, Forminator eklentisinin dosya yükleme işlevselliğindeki yetersiz dosya türü doğrulamasından kaynaklanıyor. Özellikle handle_file_upload() fonksiyonunda bulunan bu zafiyet, saldırganların kötü amaçlı PHP dosyalarını savunmasız bir siteye yüklemesine izin veriyor. Bu fonksiyon, normalde kullanıcıların güvenli bir şekilde dosya yüklemesini sağlamak üzere tasarlanmıştır; ancak, dosya uzantılarını ve MIME tiplerini doğru bir şekilde kontrol edemediği durumlarda istismar edilebilir. Bu, esasen rastgele dosya yükleme (arbitrary file upload) olarak sınıflandırılan bir güvenlik açığıdır.

Saldırının temelinde, tehlikeli uzantıların engellenmesi için kullanılan kara listenin tam anahtar eşleşmesi yapması ve bunun “pipe-alternative MIME type keys” ile atlatılabilmesi yatıyor. Örneğin, bir saldırgan image/jpeg|php gibi bir MIME tipi göndererek, eklentinin sadece image/jpeg kısmını kontrol etmesini ve |php kısmını gözden kaçırmasını sağlayabilir. Ayrıca, saldırganın kontrolündeki yükleme alanı yapılandırmasının, sahte bir Seçim alanı değeri aracılığıyla enjekte edilmesiyle kamuya açık bir gönderim işleyicisinin bu değerlere güvenmesi de açığın tetiklenmesinde rol oynuyor. Bu teknik kombinasyon, kimliği doğrulanmamış bir saldırganın özel olarak hazırlanmış bir PHP dosyasını sisteminize sızdırmasına olanak tanır ve bu dosya daha sonra sunucu üzerinde çalıştırılabilir.

Saldırının Mekanizması ve Web Sitesi Güvenliğine Etkisi

Açığın başarılı bir şekilde sömürülmesi için sitelerde hem bir Dosya Yükleme (File Upload) alanı hem de bir Seçim (Select) alanı içeren bir formun bulunması temel bir ön koşuldur. Bu şartlar altında, saldırgan, form gönderimi yaparak siteye herhangi bir dosya yükleyebilir. Yüklenen dosyanın kötü amaçlı bir PHP betiği, yani bir “web shell” olması durumunda, bu betik sunucu üzerinde çalıştırılarak uzaktan kod yürütme sağlanır. Bir web shell, saldırgana sunucu üzerinde komut çalıştırma, dosya sistemi üzerinde gezinme, veri tabanına erişme gibi geniş yetkiler sunar. Bu da saldırganın web sitesinin kontrolünü tamamen ele geçirmesi anlamına gelir.

Varsayılan yapılandırmada, yüklenen dosyaların genellikle .htaccess dosyasıyla korunan bir dizine kaydedilmesi PHP yürütmesini engeller. Bu koruma, dizindeki PHP dosyalarının doğrudan web sunucusu tarafından çalıştırılmasını önler. Ancak, eğer bir site yöneticisi özel bir dosya yükleme depolama kökü (Custom File Upload Storage root) yapılandırdıysa, bu dizin aynı korumayı sağlamayabilir. Çünkü .htaccess dosyası, yalnızca ilk ihtiyaç duyulduğunda, WordPress yardımcı programının yüklenmediği bir ön uç isteği sırasında oluşturulur. Bu senaryoda, yüklenen kötü amaçlı PHP dosyasının basit bir istekle web sunucusu tarafından çalıştırılması mümkün hale gelir. Örneğin, saldırgan yüklediği shell.php dosyasına doğrudan tarayıcı üzerinden erişerek sunucu komutlarını çalıştırabilir.

Acil Güncelleme ve Alınması Gereken Önlemler

Bu kritik güvenlik açığı, Forminator eklentisinin 1.56.1 ve önceki tüm sürümlerini etkilemektedir. Geliştiriciler, açığı 31 Temmuz 2026 tarihinde yayınlanan 1.56.2 sürümüyle gidermiştir. Bu nedenle, Forminator Forms eklentisini kullanan tüm web sitesi sahiplerinin, olası bir saldırıya karşı korunmak için eklentilerini derhal 1.56.2 veya daha yeni bir sürüme güncellemeleri hayati önem taşımaktadır. Güncelleme işlemi genellikle WordPress yönetici panelindeki “Eklentiler” bölümünden tek tıklamayla yapılabilir.

Ek olarak, özel dosya yükleme depolama kökü kullanan yöneticilerin, bu yapılandırmalarının güvenlik durumunu gözden geçirmeleri ve yükleme dizinlerinin PHP yürütmesini engelleyen uygun güvenlik önlemlerini içerdiğinden emin olmaları gerekmektedir. Bu, dizine manuel olarak bir .htaccess dosyası ekleyerek veya sunucu yapılandırması (nginx için konfigürasyon gibi) üzerinden PHP dosyalarının doğrudan erişimini kısıtlayarak sağlanabilir. Genel WordPress güvenlik prensipleri çerçevesinde, tüm eklentileri ve temaları düzenli olarak güncellemek, güçlü ve benzersiz parolalar kullanmak, güvenilir bir güvenlik eklentisi kullanmak ve düzenli yedeklemeler almak da bu tür tehditlere karşı ek bir katman sağlar. Ayrıca, bilinmeyen veya şüpheli kaynaklardan gelen eklentileri ve temaları kullanmaktan kaçınmak da büyük önem taşır.

WordPress Güvenlik Manzarasında Süregelen Tehditler

Forminator’daki bu açık, WordPress ekosisteminin sürekli hedef alındığını bir kez daha göstermektedir. Bu olay, güvenlik firmalarının ve araştırmacılarının yoğun çabalarına rağmen, popüler platformların ne kadar kırılgan olabileceğine dair bir hatırlatıcıdır. Yalnızca günler önce, 40.000’den fazla aktif kurulumu olan User Profile Builder eklentisinde de kritik bir kimlik doğrulama bypass açığı (CVE-2026-15826) duyurulmuş ve bu açık da site yöneticisi olarak oturum açmaya olanak tanıyordu.

Bu tür büyük ölçekli güvenlik sorunları, web sitesi yöneticilerinin proaktif güvenlik yaklaşımları benimsemeleri gerektiğini vurgular. Sadece eklentileri güncel tutmak değil, aynı zamanda yüklü eklentilerin kaynaklarını, izinlerini ve yapılandırmalarını düzenli olarak denetlemek, potansiyel riskleri minimize etmenin anahtarıdır. Güvenlik duvarı (WAF) kullanımı, düzenli güvenlik taramaları ve web sitesi yedeklemeleri de bu proaktif yaklaşımların önemli bir parçasıdır. Siber tehditlere karşı kalıcı savunma, ancak sürekli dikkat ve güncel güvenlik pratikleriyle sağlanabilir. Unutulmamalıdır ki, güvenlik bir süreçtir, tek seferlik bir eylem değil.