WordPress çekirdeği CVE-2026-119977: güncelleme sırasında uzaktan kod çalıştırma

WordPress sitelerinde çekirdek güncellenirken kısa bir pencere açılıyor. Bu pencerede sistem bazı dosyaları kontrol edip sonra kullanıyor. Bu açıklıkta bir saldırgan giriş yapmadan sunucuda kod çalıştırabiliyor. Açık birkaç gün önce yayımlandı, ama CISA onu zaten aktif istismar listesine aldı.

Kısa cevap: WordPress çekirdeğinde CVE-2026-119977 numaralı açık, tam paket güncelleme sırasında öngörülebilir hazırlık yollarından yararlanıyor ve kimlik doğrulaması olmadan sunucuda kod çalıştırılmasına izin verebiliyor. NVD kaydına göre 4.7 ile 7.1.3 arasındaki sürümler etkileniyor, WordPress 7.1.4 ile düzeltti. CISA bu açığı 3 Kasım 2026’da listesine ekledi ve son tarihi 6 Kasım 2026. Sitenin sürümünü bugün kontrol et ve 7.1.4 ya da üstüne geç.

Ne oldu?

WordPress çekirdeği bazen küçük yamalarla, bazen de tam paket olarak güncellenir. Açık tam paket güncellemelerini ilgilendiriyor. Bu güncellemeler sırasında WordPress geçici dosyalarını belirli, tahmin edilebilir yollara yazıyor ve bu yollar web üzerinden erişilebilir durumda.

Sorun, bir şeyi kontrol edip sonra kullanmak arasındaki kısa aralıkta ortaya çıkıyor. Bu sınıf zayıflık CWE-367 olarak geçiyor ve literatürde TOCTOU (kontrol zamanı ile kullanım zamanı arasındaki yarış) diye bilinir. Aradaki sürede dosyanın değişmesi mümkünse, sistem beklenmeyen bir dosyayı çalıştırabilir.

CISA kaydı, fidye yazılımı kampanyalarında kullanımının bilinmediğini belirtiyor. Kayıt ayrıca CISA’nın adli inceleme (forensic triage) gerekliliklerine atıf yapıyor, yani güncellemeden sonra gerektiğinde geriye dönük kontrol de önemli.

Kimler etkileniyor?

Özellik	Bilgi
CVE kimliği	CVE-2026-119977
Ürün	WordPress Core
CVSS	8.1 (v3.1)
Önem derecesi	Yüksek
CVSS vektörü	CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Zayıflık türü	CWE-367 (TOCTOU yarış koşulu)
Etkilenen sürümler	4.7 ile 7.1.3 arası (NVD)
Düzeltilen sürüm	7.1.4 (WordPress duyurusu)
NVD yayın tarihi	31 Ekim 2026
CISA KEV eklenme tarihi	3 Kasım 2026
CISA son tarihi	6 Kasım 2026

WordPress duyurusu düzeltmenin güvenlik desteği alan tüm dallara geri taşındığını yazıyor. Ancak duyuru hangi eski dalın hangi yama numarasını aldığını listelemiyor, bu yüzden eski bir sürümde isen kendi dalının durumunu WordPress sürüm sayfasından kontrol et. Duyuruda CVE kimliği de geçmiyor. Eşleştirmeyi NVD ve CISA kayıtlarından yaptım.

Ne yapmalısın?

1. Sürümünü öğren. WP-CLI kuruluysa sitenin kök dizininde wp core version çalıştır. Değilse wp-includes/version.php dosyasındaki $wp_version satırına bak, ya da yönetim panelinde Gösterge Paneli > Güncellemeler sayfasına gir.
2. Aralığa bak. Sürüm 4.7 ile 7.1.3 arasındaysa siten etkilenir. 7.1.4 ya da üstündeysen bu açıktan etkilenmiyorsun.
3. Yedek al. Güncellemeden önce dosyaları ve veritabanını yedekle. Bir şey ters giderse geri dönmek için bu yedek lazım.
4. Güncelle. Yönetim panelinden “Şimdi güncelle” de ya da wp core update komutunu çalıştır. Otomatik arka plan güncellemesi açıksa WordPress duyurusuna göre güncelleme kendiliğinden başlar, yine de sonucu kontrol et.
5. Doğrula. wp core version çıktısı 7.1.4 ya da daha yeni olmalı. Panelde de aynı sürümü görmelisin.
6. Şüphede kal ama panikleme. Güncellemeden önce ya da sonra bilinmeyen dosyalar, tanımadığın yönetici hesapları ya da beklenmedik wp-admin istekleri görürsen siteyi bir süre çevrimdışı al. Günlük dosyalarını silme, sakla. Sunucu sahibini ya da güvenlik desteğini hemen çağır.

Kaynakta bir geçici çözüm listelenmiyor. Tek öneri güncellemek. Güncelleyemiyorsan CISA’nın kayıttaki rehberi, düzeltme mümkün değilse kullanımı durdurmayı öneriyor. Bu kararı sitenin önemine göre sen vermelisin.

Sık sorulan sorular

Beni etkiliyor mu?

Sürümün 4.7 ile 7.1.3 arasındaysa evet. Sürüm numarasını yukarıdaki komutla birkaç saniyede öğrenebilirsin. 7.1.4 ve üstünde isen bu açıkla etkilenmiyorsun.

CVSS 8.1 yüksek ama bu kadar acil mi?

Evet. Puan yüksek, ama asıl önemli olan açığın CISA’nın aktif istismar listesinde olması. Bu listedeki açıklar gerçek saldırılarda görüldü. CVSS puanı tek başına riski anlatmaz.

Hemen güncelleyemezsem ne yapmalıyım?

Kaynakta bir geçici çözüm yok. Güncellemeyi en kısa sürede planla, yedeği önce al ve bu süre boyunca yönetici girişlerini ve beklenmedik dosyaları gözden geçir. Güncelleme yapılamıyorsa siteyi nasıl çalıştırmaya devam edeceğin sitenin önemine bağlı bir karar.

Kaynaklar

• NVD kaydı: CVE-2026-119977
• CISA bilinen istismar edilen açıklar kataloğu
• WordPress 7.1.4 güvenlik sürümü duyurusu

Bu yazı 6 Kasım 2026’da CISA ve NVD kayıtlarına göre hazırlandı; yeni bilgi çıkarsa güncellenecek. WordPress güncellemesi ya da sunucu bakımı için teklif formu üzerinden bana yazabilirsin.