Yeni wp2shell WordPress Çekirdek Açığı, Kimlik Doğrulaması Yapılmamış Saldırganların Kod Çalıştırmasına Olanak Sağlıyor. Wordpress yazılımında uzaktan kod çalıştırmaya imkan veren kritik bir sql injeksiyon açığı bildirilmiştir.

Daha önce bildirilen CVE-2026-60137 güvenlik açığıyla zincirlenerek kullanılmaktadır.

Anonim bir HTTP isteği, bir WordPress sitesinde kod çalıştırabilir. Hata çekirdekte olduğundan, sıfır eklentili çıplak bir kurulum bile istismar edilebilir. Cuma gününe kadar, WordPress 6.9.5 ve 7.0.2 sürümlerini yayınlayıp otomatik güncelleme sistemi aracılığıyla zorunlu güncellemeleri etkinleştirene kadar, 6.9 ve 7.0 sürümlerine sahip tüm siteler bu saldırıdan etkileniyordu.

wp2shell tek bir hata değil, iki ayrı hatadır ve her ikisi de artık CVE kimlik numarasına sahiptir. CVE-2026-63030, REST API toplu yönlendirme karışıklığıdır; CVE-2026-60137 ise WordPress çekirdeğinde bir SQL enjeksiyonudur. Zincirleme olarak, anonim bir isteği kod yürütülmesine kadar götürebilirler.

Aşağıdaki wordpress sürümleri açıktan etkilenmektedir, wordpress sürümlerinizi en kısa sürede güncelleyiniz.

6.9.0
6.9.1
6.9.2
6.9.3
6.9.4
7.0.0
7.0.1

Açığın kapatıldığı güncel wordpress sürümleri;

6.9.5
7.0.2

6.8.6 ve altındaki sürümler açıktan etkilenmemektedir.

İki hata aynı sürümlere ulaşmıyor ve bu, kimin neye maruz kaldığının anahtarı. Enjeksiyon 6.8'e kadar uzanıyor. Sınırlı bir enjeksiyonu kimlik doğrulaması yapılmamış uzaktan kod yürütmeye dönüştüren kısım olan toplu işlem yolu karışıklığı, yalnızca 6.9'dan itibaren mevcut.

Dolayısıyla aralıklar şu şekilde ayrılıyor:

• 6.8.0 ile 6.8.5 arası sürümlerde yalnızca SQL enjeksiyonu açığı vardı, 6.8.6 sürümünde düzeltildi.
• 6.9.0 ile 6.9.4 arası: tam RCE zinciri, 6.9.5'te düzeltildi.
• 7.0.0 ile 7.0.1 arası: tam RCE zinciri, 7.0.2'de düzeltildi.

7.1 beta2 her iki düzeltmeyi de içeriyor. 6.8 sürümündeki bir site bu zincir üzerinden uzaktan kod yürütme (RCE) için istismar edilemez, bu nedenle 6.8.6 yalnızca enjeksiyonu yamalıyor.

WordPress, zorunlu güncellemenin otomatik güncellemeleri kapatan sitelere ulaşıp ulaşmadığı konusunda bir açıklama yapmadı. Güncellemenin ulaştığını varsaymak yerine, gerçekten hangi sürümü çalıştırdığınızı kontrol edin.

https://x.com/HacktronAI/status/2078402183939407992
https://nvd.nist.gov/vuln/detail/CVE-2026-63030