- Son 7 gün
- CWE-502
CVE-2026-1928
Rank Math SEO eklentisi PHP nesne enjeksiyonu ile uzaktan kod çalıştırma açığı
rankmath Rank Math SEO – AI SEO Tools to Dominate SEO Rankings
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- Wordfence
Yönetici özeti
Bu açık, sitenize yazma yetkisi olan kayıtlı kullanıcıların bile sunucunuzu tamamen ele geçirmesine olanak tanıyabilir. Bu nedenle web sitesi yöneticilerinin en kısa sürede eklentiyi güncellemesi ve etkilenmiş olabilecek sistemleri kontrol etmesi önemlidir.
ÖzetTürkçe
Rank Math SEO – AI SEO Tools to Dominate SEO Rankings WordPress eklentisinin 1.0.276 sürümüne kadar olan (bu sürüm dahil) tüm sürümleri, updateMeta REST API uç noktasında güvenilmeyen girdinin deserializasyonu nedeniyle PHP nesne enjeksiyonuna açıktır. Contributor ve üzeri yetkiye sahip kimliği doğrulanmış saldırganlar bu açığı kullanabilir. Uygun bir POP zinciriyle birlikte saldırgan, uploads dizinine web kabuğu yazarak uzaktan kod çalıştırabilir.
Saldırgan ne yapabilir?
Saldırgan, sunucuda uzaktan kod çalıştırarak web sitesini ve barındırılan verileri ele geçirebilir. Web kabuğu yerleştirilmesi, kalıcı erişim ve sistemin tamamen kontrol altına alınması riskini doğurur.
Kaynaktaki açıklama (İngilizce)
The Rank Math SEO – AI SEO Tools to Dominate SEO Rankings plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 1.0.276 via deserialization of untrusted input in the updateMeta REST API endpoint. This makes it possible forauthenticated attackers, with Contributor-level access and above, to inject a PHP Object. The additional presence of a POP chain allows attackers to achieve remote code execution by writing a webshell to the uploads directory.
Ne yapmalı?
- Üretici tarafından belirtilen düzeltilmiş bir sürüm bulunmadığından, eklentiyi 1.0.276 sürümünden daha yeni bir sürüme güncelleyin veya resmi kaynaklardan güncel durumu kontrol edin. Genel öneri
- Eklenti güncellenemiyorsa, Rank Math SEO eklentisini geçici olarak devre dışı bırakın. Genel öneri
- Contributor ve üzeri yetkili kullanıcı hesaplarını gözden geçirin, gereksiz hesapları kaldırın ve şüpheli hesapların parolalarını sıfırlayın. Genel öneri
- uploads dizinini şüpheli PHP dosyaları ve web kabukları açısından inceleyin, bulunan dosyaları kaldırın ve sunucu günlüklerinde olağandışı updateMeta isteklerini araştırın. Genel öneri
Ek önlemler
- Kullanıcılara yalnızca gerekli yetkileri verin ve kullanılmayan yazar veya katkıda bulunan hesaplarını kapatın. Genel öneri
- uploads dizininde PHP dosyalarının çalıştırılmasını sunucu yapılandırmasıyla engellemeyi değerlendirin. Genel öneri
- Dosya bütünlüğü izleme araçlarıyla yükleme dizinlerindeki yeni veya değiştirilmiş dosyaları takip edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| rankmath Rank Math SEO – AI SEO Tools to Dominate SEO Rankings | ≤ 1.0.276 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- wordfence.com/…lities/id/cd4395be-7b4c-46b0-be00-7dedc6691f4a Diğer
- plugins.trac.wordpress.org/…th/tags/1.0.263/includes/rest/class-shared.php Diğer
- plugins.trac.wordpress.org/…s/1.0.263/includes/modules/schema/class-db.php Diğer
- plugins.trac.wordpress.org/…/tags/1.0.263/includes/rest/class-sanitize.php Diğer
- plugins.trac.wordpress.org/changeset/3666725 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.