- Son 7 gün
- CWE-502
CVE-2026-112848
Hostme v2 WordPress teması PHP nesne enjeksiyonu (PHP Object Injection) zafiyeti
- Yayımlandı
- Güncellendi
- 24 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- Patchstack
Yönetici özeti
Bu zafiyet, kullanılan bir web sitesi temasını hedef alıyor ve saldırganların sitenin tamamen ele geçirilmesine yol açabiliyor. Kimlik doğrulaması gerektirmemesi nedeniyle risk yüksektir ve acil işlem gerektirir. Etkilenen siteler için hemen güncelleme veya geçici önlem alınmalıdır.
ÖzetTürkçe
Hostme v2 WordPress teması (hostmev2), sürüm 7.0 ve öncesinde güvenilmeyen verinin deserialize edilmesinden kaynaklanan bir zafiyet içermektedir. Bu nedenle zafiyet, bu tema kullanan tüm WordPress sitelerini etkilemektedir. Zafiyet CWE-502 sınıfındadır ve CVSS 3.1 değerlendirmesine göre 9.8 (kritik) olarak derecelendirilmiştir.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması gerektirmeden uzak bir istekle nesne enjeksiyonu tetikleyerek sunucuda kod çalıştırabilir, verileri okuyabilir veya değiştirebilir ve hizmeti aksatabilir.
Kaynaktaki açıklama (İngilizce)
Deserialization of Untrusted Data vulnerability in AivahThemes Hostme v2 hostmev2 allows Object Injection.This issue affects Hostme v2: from n/a through 7.0.
Ne yapmalı?
- Veri sağlayıcının (Patchstack bildirisi) belirttiği şekilde, zafiyetten arındırılmış bir sürüm yayımlanana kadar Hostme v2 temasını güncelleyin; kaynakta sabit sürüm numarası belirtilmemiştir, bu nedenle tema geliştiricisinin yayımladığı en son sürümü kontrol edin. Genel öneri
- Güncelleme yapılana kadar Hostme v2 temasını devre dışı bırakın ve farklı, güncel bir temaya geçin. Genel öneri
- Sitenizi ve sunucunuzu, zafiyetin yayımlanma tarihinden önce yapılmış olabilecek şüpheli istekler, beklenmeyen dosyalar ve yönetici hesabı değişiklikleri açısından inceleyin. Genel öneri
Ek önlemler
- Kullanılmayan WordPress temalarını ve eklentilerini kaldırın, kullanılanları düzenli olarak güncel tutun. Genel öneri
- Web uygulaması güvenlik duvarı (WAF) ile nesne deserialization işlemlerine yönelik şüpheli istekleri izleyin ve engelleyin. Genel öneri
- Yönetici hesaplarında güçlü parolalar ve çok faktörlü kimlik doğrulama kullanın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| AivahThemes Hostme v2 | ≤ 7.0 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.