HotLock WordPress teması PHP nesne enjeksiyonu (PHP Object Injection) açığı

ÖzetTürkçe

HotLock WordPress teması, sürüm 1.3.9 ve öncesinde güvenilmeyen verinin deserialize edilmesi (CWE-502) nedeniyle PHP nesne enjeksiyonu açığı içermektedir. Açık, ThemeREX Group tarafından geliştirilen HotLock temasını kullanan WordPress sitelerini etkilemektedir. Saldırgan, kimlik doğrulaması olmadan bu açığı tetikleyebilir.

Saldırgan ne yapabilir?

Başarılı bir sömürü durumunda saldırgan, sunucuda uzaktan kod çalıştırma, veri okuma veya değiştirme ve hizmeti aksatma gibi sonuçlara yol açabilecek zararlı PHP nesneleri enjekte edebilir. CVSS puanı 9.8 olup kritik seviyededir.

Ne yapmalı?

1. Üretici tarafından sağlanan düzeltilmiş bir sürüm bulunmadığı için HotLock temasının 1.3.9 ve öncesi sürümlerini derhal kullanımdan kaldırın; mümkünse temayı tamamen devre dışı bırakın. Genel öneri
2. Güncel bir güvenlik sürümü yayımlanana kadar tema yerine güvenilir ve aktif olarak bakımı yapılan alternatif bir tema kullanmayı değerlendirin. Genel öneri
3. Sitenizin ve veritabanınızın yedeğini alın, ardından sunucu kayıtlarını ve dosya değişikliklerini şüpheli etkinlik açısından inceleyin. Genel öneri

Ek önlemler

• Kullanılmayan temaları ve eklentileri tamamen kaldırarak saldırı yüzeyini azaltın. Genel öneri
• Web sunucusu ve WordPress erişim kayıtlarını düzenli olarak izleyerek olağandışı istekleri tespit edin. Genel öneri
• Yönetici hesaplarında güçlü parolalar ve çok faktörlü kimlik doğrulama kullanın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

Kaynaklar3 kaynak

• CVE.org kaydı
• NVD kaydı
• patchstack.com/…theme-1-3-9-php-object-injection-vulnerability Diğer

Kayıt geçmişi

1. 23 Eki 2026 16:00Yayımlandı

İlgili açıklar

• 7,8 CVE-2026-118617Ultralytics load_dataset_cache_file Deserialization of Untrusted Data Remote Code Execution Vulnerability
• 7,8 CVE-2026-118613Ultralytics torch_load Deserialization of Untrusted Data Remote Code Execution Vulnerability
• 9,8 CVE-2026-115968WordPress Ultimate Member plugin <= 2.13.1 - PHP Object Injection vulnerability
• 7,2 CVE-2026-116390WordPress Filter Everything — WordPress & WooCommerce Filters plugin <= 1.9.7 - PHP Object Injection vulnerability
• 7,2 CVE-2026-115590WordPress Dokan plugin <= 5.3.1 - PHP Object Injection vulnerability
• 8,8 CVE-2026-116389WordPress Phoenix Media Rename plugin <= 3.13.5 - PHP Object Injection vulnerability