WordPress çekirdeğinde tespit edilen ve kritik bir uzaktan kod çalıştırma (RCE) riski taşıyan CVE-2026-87902 (CVSS 4.0: 9.2) güvenlik açığı, kamuoyuna duyurulmasının hemen ardından saldırganlar tarafından hedef alınmaya başlandı. Açıklamadan sadece birkaç saat sonra tespit edildiği bildirilen aktif istismar faaliyetleri, sistem yöneticilerinin güvenlik güncellemelerini gecikmeden uygulamasını ve sistemlerini olası saldırı izlerine karşı denetlemesini gerektiriyor.

1. Güvenlik Açığının Teknik Yapısı ve Koşulları

CVE-2026-87902 zafiyeti, WordPress’in get_page_template() sayfa şablonu çözümleme mekanizmasından kaynaklanıyor. Kimliği doğrulanmamış (unauthenticated) uzak bir saldırgan, parametre manipülasyonu yoluyla aktif tema dizinleri dışındaki okunabilir bir yerel .php dosyasının yüklenmesini sağlayabiliyor. Sunucu ve tema yapılandırmasına ilişkin belirli koşulların sağlanması durumunda bu durum, yetkisiz kod çalıştırılmasına yol açabiliyor.

Zafiyetin başarılı bir şekilde istismar edilebilmesi için belirli teknik ön koşulların bulunması gerekiyor:

• Tema Yapısı: Aktif tema veya alt temanın (child theme) ana dizininde adı page- önekiyle başlayan en az bir üst düzey klasörün bulunması (örneğin /page-templates/).
• Hedef Dosya Erişilebilirliği: Uzaktan kod çalıştırma senaryosunda, sunucuda web sunucusu kullanıcısı tarafından okunabilir bir PHP dosyasının (örneğin pearcmd.php) bulunması. Bu dosyanın istismarında ilgili PHP yapılandırmasının da uygun olması gerekiyor.

2. Tespit Edilen Saldırı Vektörleri ve Telemetri Verileri

Güvenlik araştırmacılarının (Previdian ve Patchstack) sağladığı belirtilen telemetri verilerine göre saldırganlar, pearcmd.php dosyasından yararlanarak /tmp/ ve /var/tmp/ gibi geçici dizinlere zararlı PHP dosyaları yazmaya ve komut çalıştırmaya çalışıyor.

• Gerçekleştirilen Eylemler: Sistemde geçici dosya oluşturulmasının ardından GitHub üzerinden dış kaynaklı bir web kabuğu (uploader.php) indirilerek kalıcılık sağlanmaya çalışıldığı bildiriliyor.
• Gözlemlendiği Bildirilen Zararlı Dosya Adları: wp-pear-rce-flag.php, poc87902.php, luci_<random>.php ve zeta_<random>.php.
• Bildirilen Güvenlik İhlali Göstergeleri (IoC – IP Adresleri):
  • 104.194.9[.]227
  • 43.250.53[.]42
  • 180.251.159[.]243
  • 195.178.110[.]247
  • 107.189.14[.]87
  • 45.61.184[.]170
  • 92.246.130[.]76

Bu dosya adları ve IP adreslerinin söz konusu kampanyayla ilişkisi, özgün telemetri kayıtları üzerinden ayrıca doğrulanmalıdır. Tek başına bir IP adresinin görülmesi, sistemin ele geçirildiğini kanıtlamaz.

3. Değerlendirme ve Korunma Yöntemleri

Zafiyet kritik bir CVSS puanına sahip olmasına rağmen, istismar için gereken özel ön koşullar her WordPress kurulumunun aynı ölçüde risk altında olmadığı anlamına geliyor. Bununla birlikte otomatik güncelleme mekanizması riski azaltabilse de bütün sistemlerin güncellendiği varsayılmamalı.

WordPress, 22 Eylül 2026’da yayımladığı 7.1.2 sürümünde bu açığı giderdi. Ardından 6 Ekim 2026’da ek güvenlik düzeltmeleri içeren 7.1.3 sürümünü yayımladı. Bu nedenle güncelleme yapılırken yalnızca CVE-2026-87902 için hazırlanan yamaların değil, mevcut en güncel güvenlik sürümünün dikkate alınması gerekiyor.

Önerilen Tedbirler:

• İçerik yönetim sisteminin mümkünse güncel WordPress 7.1.3 sürümüne yükseltilmesi. Eski sürüm dallarında kalınması gerekiyorsa ilgili dalın en son güvenlik güncellemesinin uygulanması.
• /tmp/ ve /var/tmp/ dizinlerinin yukarıda belirtilen dosya adları ve şüpheli PHP dosyaları açısından denetlenmesi.
• Güvenlik duvarı (WAF) ve erişim kayıtlarının ilgili IP adresleri açısından incelenmesi; doğrulanan kötü amaçlı kaynakların engellenmesi.
• Tema yapısının, PHP yapılandırmasının ve sunucudaki erişilebilir yerel PHP dosyalarının kontrol edilmesi.
• Olası istismar izlerinin belirlenmesi için web sunucusu günlüklerinin ve dosya bütünlüğünün incelenmesi.