- Yama var
- Son 7 gün
- CWE-287
CVE-2026-118185
Security Optimizer eklentisinde kaba kuvvet korumasının olmaması nedeniyle 2FA atlatma
- Yayımlandı
- Güncellendi
- 1 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- WPScan
Yönetici özeti
Bu açık, sitenizin yönetim hesaplarını ek güvenlik katmanına rağmen ele geçirilebilir hale getiriyor. Parolası sızmış bir hesap, iki faktörlü doğrulama korumasının aşılmasıyla tamamen saldırganın eline geçebilir. Eklentinin güncellenmesi, bu riski hızla ortadan kaldırmak için önceliklendirilmelidir.
ÖzetTürkçe
WordPress için geliştirilen Security Optimizer eklentisinin 1.6.9 sürümünden önceki sürümlerinde, bekleyen bir oturum açma işlemi için gönderilebilecek iki faktörlü doğrulama kodlarının sayısı sınırlandırılmamıştır. Bu nedenle kullanıcı parolasını ele geçirmiş bir saldırgan, ikinci doğrulama faktörünü deneme yanılma yoluyla kırabilir. Etkilenen sürümler, eklentinin 1.6.9 öncesi tüm kurulumlarıdır.
Saldırgan ne yapabilir?
Saldırgan, parolası bilinen bir hesabın iki faktörlü doğrulamasını aşarak hesabı tamamen ele geçirebilir. Bu durum, yönetici hesaplarında site üzerinde tam kontrol anlamına gelebilir.
Kaynaktaki açıklama (İngilizce)
The Security Optimizer WordPress plugin before 1.6.9 does not limit the number of two-factor authentication codes that can be submitted for a pending login, allowing an attacker who already knows a user's password to brute force the second factor and take over the account.
Ne yapmalı?
- Security Optimizer eklentisini 1.6.9 veya üzeri bir sürüme güncelleyin. Üretici
- Yönetici ve yüksek yetkili kullanıcıların parolalarını değiştirin ve güçlü, benzersiz parolalar kullanmalarını sağlayın. Genel öneri
- Güncelleme sonrasında, yetkili hesaplarda son oturum açma kayıtlarını ve başarısız doğrulama denemelerini inceleyin. Genel öneri
Ek önlemler
- Oturum açma ve iki faktörlü doğrulama denemeleri için hız sınırlaması veya geçici kilitleme uygulayan ek bir güvenlik katmanı kullanmayı değerlendirin. Genel öneri
- Yönetici hesaplarında iki faktörlü doğrulama kullanıyorsanız, doğrulama kodlarının kısa sürede çok sayıda denenmesini izleyen uyarılar tanımlayın. Genel öneri
- Yönetim paneline erişimi IP kısıtlamasıyla veya ek kimlik doğrulama katmanıyla sınırlandırmayı düşünün. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Security Optimizer | < 1.6.9 | 1.6.9 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/253fe868-0e85-496f-8b01-a8b5107db217 İstismar kodu ya da analiz
Kayıt geçmişi
- CVSS puanı değişti: – → 7.5
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.