WordPress CVE-2026-87902 Açığı, Yama Sonrası Hızla İstismar Ediliyor

WordPress platformunda keşfedilen CVE-2026-87902 güvenlik açığı, kritik bir tehdit olarak kısa sürede aktif istismarların hedefi oldu. CVSS puanı 9.2 olarak belirlenen bu ciddi güvenlik zafiyeti, kimliği doğrulanmamış bir saldırganın uzaktan kod çalıştırmasına (RCE) olanak tanıyor. Güvenlik yamalarının yayımlanmasının üzerinden henüz saatler geçmişken siber saldırganlar, bu açığı kullanarak sistemlere nüfuz etmeye çalışıyor; bu durum, web yöneticileri için acil bir eylem gerekliliği doğuruyor.

Kritik Açığın Perde Arkası

WordPress’in danışma belgesinde de belirtildiği gibi, CVE-2026-87902, get_page_template() işlevinin sayfa şablonu çözümlemesinde ortaya çıkıyor. Bu işlev, aktif tema dizinlerinin dışındaki, seçilen ve okunabilir bir yerel .php dosyasının dahil edilmesine izin veriyor. Bu durum, eğer sunucu ortamı ve kullanılan aktif tema belirli ön koşulları karşılıyorsa, uzaktan kod çalıştırma gibi ciddi bir sonuca yol açabiliyor. Açığın yayımlandığı gün başlayan bu saldırılar, özellikle otomatik güncellemelere sahip olmayan veya güncellemeyi geciktiren siteler için büyük risk taşıyor.

Siber güvenlik uzmanları, bu tür kritik açıkların kamuya duyurulmasının hemen ardından gerçekleşen istismar girişimlerinin, saldırganların ne kadar hızlı hareket ettiğini gösterdiğini vurguluyor. Bu hız, yama döngüsü ile saldırı arasındaki farkı kapatmak isteyen web yöneticileri için sürekli bir yarış anlamına geliyor. Açığın temelinde, WordPress’in şablon yükleme mekanizmasının manipülasyonu yatıyor; bu da saldırganlara sunucunun temel işlevlerine erişim sağlamak için bir kapı aralıyor.

Uzaktan Kod Çalıştırmanın Mekanizması

CVE-2026-87902’nin başarılı bir şekilde istismar edilebilmesi için iki ana koşulun karşılanması gerekiyor. İlk olarak, aktif olan alt veya ana temanın, adı page- ile başlayan üst düzey bir dizin (örneğin, page-templates) içermesi gerekiyor. İkinci ve kritik koşul ise, sunucuda seçilen yerel bir .php hedef dosyasının bulunması ve bu dosyanın web sunucusu hesabı tarafından okunabilir olması. Siber saldırganların hedeflediği tipik dosyalardan biri, sunucularda yaygın olarak bulunan pearcmd.php dosyasıdır.

Saldırganlar, bu iki koşul yerine getirildiğinde, get_page_template() işlevini kullanarak pearcmd.php gibi kritik bir dosyayı, aktif tema dizinlerinin dışından kendi kontrollerindeki bir bağlamda çalıştırmaya zorlayabiliyor. Bu durum, onlara sunucuda keyfi PHP kodları yazma ve çalıştırma yeteneği vererek tam kontrol sağlama potansiyeli sunuyor. Bu mekanizma, sistemin temel güvenliğini aşarak hassas verilere erişimden, web sitesinin tamamen ele geçirilmesine kadar geniş bir yelpazede kötü niyetli faaliyetlere olanak tanıyor.

Siber Saldırganların Gözünden İstismar Modeli

Güvenlik firması Previdian’ın honeypot (bal küpü) ağından elde edilen telemetri verileri, CVE-2026-87902’ye yönelik istismar girişimlerinin hızla arttığını gösteriyor. 23 Eylül 2026 itibarıyla toplam 68 istismar girişimi kaydedildiği belirtiliyor. Malicious istekler genellikle ABD’nin New Jersey eyaletindeki 104.194.9[.]227 IP adresinden ve Endonezya merkezli başka bir IP adresinden geliyor. İstismar girişimlerinde, /usr/local/lib/php/pearcmd.php gibi yerel PHP dosyaları kullanılarak /tmp/ dizinine dosya yazıldığı ve ardından GitHub’da barındırılan raw.githubusercontent[.]com/MrG3P5/web-shell/refs/heads/main/uploader.php adlı bir PHP yükleme betiğinin dahil edildiği gözlemleniyor.

Patchstack gibi diğer WordPress güvenlik şirketleri de benzer bulguları doğrulamış durumda. Başlangıçta zararsız çekirdek dosyalarına yönelik keşif faaliyetleriyle başlayan kötü niyetli istekler, hızla pearcmd.php’nin kullanılarak diske PHP dosyaları yazıldığı aktif istismara dönüştü. Tespit edilen dosya adları arasında wp-pear-rce-flag.php, poc87902.php, luci_<random>.php ve zeta_<random>.php gibi örnekler bulunuyor. Saldırılarla ilişkilendirilen diğer IP adresleri ise 43.250.53[.]42, 180.251.159[.]243, 195.178.110[.]247, 107.189.14[.]87, 45.61.184[.]170 ve 92.246.130[.]76 olarak listeleniyor. İlk istismar girişimi, yamanın yayımlandığı gün olan 22 Eylül 2026, 11:49 UTC’de kaydedildi.

Acil Eylem Planı: Sistemlerinizi Koruma

Bu kritik WordPress güvenlik açığı nedeniyle, tüm web sitesi yöneticilerinin derhal harekete geçmesi gerekiyor. WordPress’in yayınladığı güvenlik yamalarını en kısa sürede uygulamak, sitelerinizi bu aktif istismarlara karşı korumanın en etkili yoludur. Özellikle WordPress sürüm 7.1.2‘ye yükseltme yapılması şiddetle tavsiye edilir. Daha eski sürümleri kullananlar için ise 7.0.6, 6.9.9 veya 6.8.10 sürüm güncellemeleri mevcuttur. Bu güncellemeler, söz konusu güvenlik açığını kapatarak saldırganların sisteminize sızmasını engeller.

Güncelleme işleminin yanı sıra, yöneticilerin sitelerini kötü niyetli aktivite belirtileri açısından detaylı bir şekilde denetlemesi de büyük önem taşıyor. Sunucu günlüklerini incelemek, beklenmedik dosya değişikliklerini (özellikle /tmp ve /var/tmp dizinlerinde) kontrol etmek ve web sunucusu hesaplarının erişim izinlerini gözden geçirmek, olası bir ihlali tespit etmede veya önlemede yardımcı olabilir. Şüpheli bir durumla karşılaşılırsa, profesyonel bir güvenlik uzmanından destek almak, potansiyel zararı en aza indirmek için kritik bir adımdır.

WordPress Ekosistemi İçin Büyük Resim

Previdian’ın kurucusu ve CEO’su Ryan Dewhurst’un değerlendirmesine göre, CVE-2026-87902 şüphesiz ciddi bir güvenlik açığı olsa da, bazı ön koşulların varlığı kitlesel istismarı daha az olası kılıyor. Ancak, WordPress’in varsayılan olarak otomatik güncellemeleri etkinleştirme eğilimi, saldırı girişimlerinin sayısını artırsa bile, fiili ihlallerin nispeten daha az olabileceği beklentisini doğuruyor. Bu durum, sürekli güvenlik güncellemelerinin önemini bir kez daha ortaya koyuyor ve otomatik güncelleme mekanizmalarının genel web güvenliği üzerindeki olumlu etkisini gözler önüne seriyor.

Yine de, bu olay, web platformlarının sürekli olarak yeni tehditlerle karşı karşıya olduğunu ve proaktif güvenlik önlemlerinin asla göz ardı edilmemesi gerektiğini hatırlatıyor. Özellikle geniş bir kullanıcı tabanına sahip WordPress gibi sistemlerde, yama yayımlama ile istismar başlangıcı arasındaki kısa süre, geliştiricilerin ve yöneticilerin sürekli tetikte olmasını gerektiriyor. Bu da, hem platform geliştiricilerinin hem de site sahiplerinin güvenlik bilincini en üst düzeyde tutmasının kaçınılmaz bir gereklilik olduğunu gösteriyor.