Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-436

CVE-2026-63030

WordPress REST API toplu istek rota karışıklığı ve SQL enjeksiyonu ile uzaktan kod çalıştırma

WordPress

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
7 Eki 2026
Açık yaşı
102 gün
Kaydı açan
WPScan
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 21 Tem 2026 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 24 Tem 2026.

Yönetici özeti

Bu zafiyet, internete açık WordPress sitelerinin dışarıdan, herhangi bir şifre gerekmeden ele geçirilmesine izin verebilir ve şu anda saldırılarda aktif olarak kullanılıyor. Müşteri verilerinin çalınması, sitenin bozulması veya zararlı yazılım barındırması gibi riskler var. Güncellemenin gecikmeden yapılması gerekir.

ÖzetTürkçe

WordPress'in REST API toplu istek (batch) uç noktasında bir rota karışıklığı zafiyeti bulunuyor. Bu zafiyet, WP_Query içindeki author__not_in SQL enjeksiyonu (CVE-2026-60137) ile birleştirildiğinde kimlik doğrulaması olmadan SQL enjeksiyonu yapılmasına ve uzaktan kod çalıştırılmasına yol açabiliyor. 6.9.0 ile 6.9.5 öncesi ve 7.0.0 ile 7.0.2 öncesi sürümler etkileniyor. Zafiyetin CISA KEV kataloğuna eklenmesi, aktif olarak istismar edildiğine işaret ediyor.

Saldırgan ne yapabilir?

Uzaktan ve kimlik doğrulaması olmadan saldıran biri veritabanına erişebilir, verileri okuyup değiştirebilir ve sunucuda kod çalıştırarak siteyi tamamen ele geçirebilir.

Kaynaktaki açıklama (İngilizce)

WordPress 6.9.x before 6.9.5 and 7.0.x before 7.0.2 is affected by a REST API batch endpoint route confusion issue which, combined with the author__not_in WP_Query SQL Injection (CVE-2026-60137), could allow an attacker to perform SQL Injection and achieve Remote Code Execution.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Ne yapmalı?

  1. WordPress'i düzeltilmiş sürüme güncelleyin: 6.9.x kullanıyorsanız 6.9.5'e, 7.0.x kullanıyorsanız 7.0.2'ye yükseltin. Üretici
  2. Güncellemeyi uygulayamıyorsanız geçici olarak siteyi bakım moduna alın veya erişimi kısıtlayın; REST API toplu istek uç noktasına gelen dış erişimi güvenlik duvarı ya da WAF ile engellemeyi değerlendirin. Genel öneri
  3. CISA yönergesi uyarınca satıcı talimatlarına göre önlemleri uygulayın, varlıklarınızın internete açıklığını değerlendirin ve CISA'nın adli bilişim triyaj gereksinimlerine uyun. Önlemler uygulanamıyorsa ürünün kullanımını durdurun. CISA
  4. Güncelleme sonrasında sitenin zaten ele geçirilmiş olabileceğini varsayarak yetkisiz yönetici hesaplarını, değiştirilmiş dosyaları ve şüpheli kod parçalarını kontrol edin. Genel öneri

Ek önlemler

  • WordPress çekirdeği, eklentiler ve temalar için otomatik güvenlik güncellemelerini etkinleştirin. Genel öneri
  • Web sunucusu ve WAF günlüklerinde REST API toplu istek uç noktasına gelen olağan dışı istekleri ve SQL enjeksiyonu denemelerini izleyin. Genel öneri
  • Veritabanı kullanıcısına yalnızca gerekli yetkileri verin ve web dizinlerinde dosya yazma izinlerini olabildiğince kısıtlayın. Genel öneri
  • Düzenli ve sitenin dışında saklanan yedekler alın; olası bir ele geçirilme durumunda temiz yedeğe dönebilmek için geri yükleme testleri yapın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
WordPress ≥ 6.9.0, < 6.9.5 6.9.5
≥ 7.0.0, < 7.0.2 7.0.2

Kaynaklar4 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.