WordPress, 17 Temmuz 2026’da çekirdek sistemdeki kritik wp2shell açığını kapatmak için 6.9.5, 7.0.2 ve 6.8.6 sürümlerini yayımladı.
Saldırı zinciri, kimlik doğrulama gerektirmeyen SQL enjeksiyonu ile REST API’deki yönlendirme karışıklığı açığını birleştirerek uzaktan kod çalıştırılmasına imkân tanıyor.
Etkilenen sitelerin yöneticileri sürümü doğrulamalı, güncellemeyi hemen uygulamalı ve olası ihlal belirtilerini kontrol etmeli.
Search & fact-check with cited sources for What critical WordPress vulnerability was patched in emergency updates on July 17, 2026, what areConceptual representation of the wp2shell WordPress core vulnerability alert.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What critical WordPress vulnerability was patched in emergency updates on July 17, 2026, what are. Article summary: Here is the full fact-checked breakdown.. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
17 Temmuz 2026’da WordPress, wp2shell adı verilen kritik bir güvenlik açığı zincirini kapatmak için acil güncellemeler yayımladı. WordPress çekirdeğinde bulunan bu açık, saldırganların herhangi bir kullanıcı hesabına giriş yapmadan uzaktan kod çalıştırmasına, yani sitenin kontrolünü büyük ölçüde ele geçirmesine yol açabiliyor.
WordPress güvenlik sorunlarının önemli bir bölümü eklenti veya temalardan kaynaklanırken wp2shell’in tehlikesi, eklenti bulunmayan varsayılan bir kurulumda da çalışabilmesi. WordPress ekibi, riskin büyüklüğü nedeniyle etkilenen sitelerde zorunlu otomatik güncellemeleri etkinleştirdi .
Hangi güncellemeler yayımlandı?
WordPress, 17 Temmuz’da şu güvenlik sürümlerini kullanıma sundu:
WordPress 6.9.5
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
WordPress, 17 Temmuz 2026’da çekirdek sistemdeki kritik wp2shell açığını kapatmak için 6.9.5, 7.0.2 ve 6.8.6 sürümlerini yayımladı.
Saldırı zinciri, kimlik doğrulama gerektirmeyen SQL enjeksiyonu ile REST API’deki yönlendirme karışıklığı açığını birleştirerek uzaktan kod çalıştırılmasına imkân tanıyor.
Etkilenen sitelerin yöneticileri sürümü doğrulamalı, güncellemeyi hemen uygulamalı ve olası ihlal belirtilerini kontrol etmeli.
Search & fact-check with cited sources for What critical WordPress vulnerability was patched in emergency updates on July 17, 2026, what areConceptual representation of the wp2shell WordPress core vulnerability alert.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What critical WordPress vulnerability was patched in emergency updates on July 17, 2026, what are. Article summary: Here is the full fact-checked breakdown.. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
17 Temmuz 2026’da WordPress, wp2shell adı verilen kritik bir güvenlik açığı zincirini kapatmak için acil güncellemeler yayımladı. WordPress çekirdeğinde bulunan bu açık, saldırganların herhangi bir kullanıcı hesabına giriş yapmadan uzaktan kod çalıştırmasına, yani sitenin kontrolünü büyük ölçüde ele geçirmesine yol açabiliyor.
WordPress güvenlik sorunlarının önemli bir bölümü eklenti veya temalardan kaynaklanırken wp2shell’in tehlikesi, eklenti bulunmayan varsayılan bir kurulumda da çalışabilmesi. WordPress ekibi, riskin büyüklüğü nedeniyle etkilenen sitelerde zorunlu otomatik güncellemeleri etkinleştirdi .
Hangi güncellemeler yayımlandı?
WordPress, 17 Temmuz’da şu güvenlik sürümlerini kullanıma sundu:
WordPress 6.9.5
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
Açık, Assetnote’ta görev yapan ve Searchlight Cyber bünyesinde bulunan güvenlik araştırmacısı Adam Kues tarafından keşfedilip sorumlu şekilde bildirildi .
wp2shell’in CVE numaraları
Saldırı, tek bir hatadan değil, birlikte kullanıldığında etkisi uzaktan kod çalıştırmaya kadar çıkan iki güvenlik açığından oluşuyor :
CVE-2026-63030: WordPress REST API’sindeki toplu istek uç noktasında rota karışıklığı açığı. Kritik olarak sınıflandırılıyor ve birden fazla güvenlik sağlayıcısına göre CVSS puanı 9,8. İlk raporlardan birinde puan 7,5 olarak yer almış, daha sonra 9,8’e güncellenmişti .
CVE-2026-60137:WP_Query içindeki author__not_in parametresinde bulunan, kimlik doğrulama gerektirmeyen SQL enjeksiyonu açığı. Yüksek önem derecesinde değerlendiriliyor .
Hangi WordPress sürümleri etkileniyor?
6.9.x: 6.9.0’dan 6.9.4’e kadar olan sürümler
7.0.x: 7.0.0 ve 7.0.1
6.8.x: Güvenlik düzeltmesi 6.8.6 sürümüne taşındı
Başka bir deyişle, 6.9.x kullanan siteler 6.9.5’e, 7.0.x kullanan siteler 7.0.2’ye, 6.8.x dalındaki siteler ise 6.8.6’ya yükseltilmeli.
Saldırı teknik olarak nasıl işliyor?
wp2shell, iki açığın birbirini tamamladığı bir saldırı zinciri:
SQL enjeksiyonu: Saldırgan, author__not_in parametresine özel hazırlanmış HTTP istekleri göndererek WordPress veritabanına zararlı SQL ifadeleri enjekte edebiliyor. Bunun için oturum açması gerekmiyor.
REST API rota karışıklığı:/wp-json/batch/v1 uç noktası, tek bir çağrıda birden fazla alt isteği işlemek için kullanılıyor. İşleme sırasında oluşan ayrıştırma sorunu, iki dahili dizinin senkron dışına çıkmasına ve normalde engellenmesi gereken API çağrılarının zincirlenmesine izin verebiliyor .
Bu iki sorun birleştirildiğinde saldırgan, toplu REST API uç noktasını kullanarak SQL enjeksiyonunu tetikleyebiliyor. Son aşamada ise şu yöntemlerle tam uzaktan kod çalıştırma elde edilebiliyor:
MySQL’in INTO OUTFILE komutunu kullanarak dosya sistemine PHP web kabuğu gibi rastgele içerikler yazmak,
PHP kodu çalıştırılmasına yol açabilecek WordPress seçeneklerini değiştirmek .
Saldırı için kullanıcı hesabı, eklenti veya özel yapılandırma gerekmiyor; varsayılan WordPress kurulumu yeterli . 18 Temmuz 2026 itibarıyla wp2shell.com üzerinde herkese açık bir kontrol aracı yayımlandı ve çalışan bir kavram kanıtlama kodunun dolaşımda olduğu bildirildi .
Kalıcı nesne önbelleği kullanan Redis veya Memcached gibi sistemler saldırı yolunu kısmen değiştirebilir ya da sınırlayabilir. Ancak bu durum, temel güvenlik açığının ortadan kalktığı anlamına gelmiyor .
WordPress yöneticileri ne yapmalı?
Hemen güncelleyin. WordPress’i 6.9.5, 7.0.2 veya 6.8.6 sürümüne yükseltin. Otomatik güncellemeleri destekleyen birçok site, zorunlu güncellemeyi arka planda almış olabilir .
Sürümü doğrulayın. Yönetim panelinde Kontrol Paneli → Güncellemeler bölümünü açın veya wp-includes/version.php dosyasını kontrol edin.
Güncelleme gecikecekse WAF kullanın. Sanal yama ya da Web Uygulaması Güvenlik Duvarı kuralı geçici koruma sağlayabilir. Cloudflare, wp2shell saldırı vektörünü engellemeye yönelik WAF kurallarını yayımladı .
İhlal belirtilerini arayın.wp-content/uploads/ altında beklenmedik dosyaları, tanımadığınız yönetici hesaplarını ve olağandışı veritabanı kayıtlarını kontrol edin. Geniş çaplı istismar doğrulanmamış olsa da herkese açık kavram kanıtlama kodu taramaların başlamış olabileceğini gösteriyor.
Veritabanı yetkilerini gözden geçirin. WordPress veritabanı kullanıcısının FILE yetkisine sahip olmadığından emin olun. Bu yetkinin kaldırılması, INTO OUTFILE üzerinden uzaktan kod çalıştırmaya giden yolu sınırlar.
Açık kaynak yapısı riski neden artırıyor?
Şu ana kadar sahada doğrulanmış kitlesel bir istismar bulunmaması, riskin düşük olduğu anlamına gelmiyor. WordPress’in açık kaynak yapısı, wp2shell sonrasında saldırganların hızla harekete geçmesini kolaylaştırıyor:
Yama, saldırı yolunu görünür kılabiliyor. Saldırganlar güncellenmiş sürüm ile savunmasız sürümün kaynak kodunu karşılaştırarak hangi kodun değiştirildiğini inceleyebilir ve açık zincirini kısa sürede yeniden oluşturabilir .
Savunmacıların zamanı daralıyor. Kapalı kaynaklı yazılımlarda saldırı geliştirmek için genellikle bağımsız araştırma gerekir. Açık kaynak projelerde ise yama, yapılan değişikliğin ayrıntılarını da ortaya çıkarabilir.
Hedef havuzu çok geniş. WordPress’in web sitelerindeki payı yaklaşık yüzde 43 olarak veriliyor. Kurulumların güvenlik seviyesi birbirinden oldukça farklı; bazı siteler güncel olmayan PHP sürümleriyle çalışıyor veya otomatik güncellemeleri kullanmıyor .
Silahlandırma eşiği düşük. Kontrol aracı ve istismar kodunun yama yayımlandıktan sonraki 24 saat içinde paylaşılması, orta düzeyde yetkinliğe sahip saldırganların bile kodu toplu tarama aracına dönüştürebileceği anlamına geliyor .
Kimlik doğrulama engeli yok. Saldırı zinciri ön kimlik doğrulama aşamasında çalışıyor. Saldırganın geçerli parola, savunmasız eklenti veya özel bir sunucu ayarı bulması gerekmiyor .
Özetle wp2shell, WordPress çekirdeğinde yer aldığı ve varsayılan kurulumları etkilediği için alışılmış eklenti açıklarından daha geniş bir risk alanı oluşturuyor. Açık kaynak yapıda yama, bir anlamda ayrıntılı teknik açıklama işlevi de görebiliyor. Bu nedenle etkilenen sürümlerdeki siteler için en doğru yaklaşım, otomatik güncellemenin gerçekleştiğini varsaymak yerine sürümü bugün kontrol etmek ve güvenlik güncellemesini elle doğrulamak.
Açık, Assetnote’ta görev yapan ve Searchlight Cyber bünyesinde bulunan güvenlik araştırmacısı Adam Kues tarafından keşfedilip sorumlu şekilde bildirildi .
wp2shell’in CVE numaraları
Saldırı, tek bir hatadan değil, birlikte kullanıldığında etkisi uzaktan kod çalıştırmaya kadar çıkan iki güvenlik açığından oluşuyor :
CVE-2026-63030: WordPress REST API’sindeki toplu istek uç noktasında rota karışıklığı açığı. Kritik olarak sınıflandırılıyor ve birden fazla güvenlik sağlayıcısına göre CVSS puanı 9,8. İlk raporlardan birinde puan 7,5 olarak yer almış, daha sonra 9,8’e güncellenmişti .
CVE-2026-60137:WP_Query içindeki author__not_in parametresinde bulunan, kimlik doğrulama gerektirmeyen SQL enjeksiyonu açığı. Yüksek önem derecesinde değerlendiriliyor .
Hangi WordPress sürümleri etkileniyor?
6.9.x: 6.9.0’dan 6.9.4’e kadar olan sürümler
7.0.x: 7.0.0 ve 7.0.1
6.8.x: Güvenlik düzeltmesi 6.8.6 sürümüne taşındı
Başka bir deyişle, 6.9.x kullanan siteler 6.9.5’e, 7.0.x kullanan siteler 7.0.2’ye, 6.8.x dalındaki siteler ise 6.8.6’ya yükseltilmeli.
Saldırı teknik olarak nasıl işliyor?
wp2shell, iki açığın birbirini tamamladığı bir saldırı zinciri:
SQL enjeksiyonu: Saldırgan, author__not_in parametresine özel hazırlanmış HTTP istekleri göndererek WordPress veritabanına zararlı SQL ifadeleri enjekte edebiliyor. Bunun için oturum açması gerekmiyor.
REST API rota karışıklığı:/wp-json/batch/v1 uç noktası, tek bir çağrıda birden fazla alt isteği işlemek için kullanılıyor. İşleme sırasında oluşan ayrıştırma sorunu, iki dahili dizinin senkron dışına çıkmasına ve normalde engellenmesi gereken API çağrılarının zincirlenmesine izin verebiliyor .
Bu iki sorun birleştirildiğinde saldırgan, toplu REST API uç noktasını kullanarak SQL enjeksiyonunu tetikleyebiliyor. Son aşamada ise şu yöntemlerle tam uzaktan kod çalıştırma elde edilebiliyor:
MySQL’in INTO OUTFILE komutunu kullanarak dosya sistemine PHP web kabuğu gibi rastgele içerikler yazmak,
PHP kodu çalıştırılmasına yol açabilecek WordPress seçeneklerini değiştirmek .
Saldırı için kullanıcı hesabı, eklenti veya özel yapılandırma gerekmiyor; varsayılan WordPress kurulumu yeterli . 18 Temmuz 2026 itibarıyla wp2shell.com üzerinde herkese açık bir kontrol aracı yayımlandı ve çalışan bir kavram kanıtlama kodunun dolaşımda olduğu bildirildi .
Kalıcı nesne önbelleği kullanan Redis veya Memcached gibi sistemler saldırı yolunu kısmen değiştirebilir ya da sınırlayabilir. Ancak bu durum, temel güvenlik açığının ortadan kalktığı anlamına gelmiyor .
WordPress yöneticileri ne yapmalı?
Hemen güncelleyin. WordPress’i 6.9.5, 7.0.2 veya 6.8.6 sürümüne yükseltin. Otomatik güncellemeleri destekleyen birçok site, zorunlu güncellemeyi arka planda almış olabilir .
Sürümü doğrulayın. Yönetim panelinde Kontrol Paneli → Güncellemeler bölümünü açın veya wp-includes/version.php dosyasını kontrol edin.
Güncelleme gecikecekse WAF kullanın. Sanal yama ya da Web Uygulaması Güvenlik Duvarı kuralı geçici koruma sağlayabilir. Cloudflare, wp2shell saldırı vektörünü engellemeye yönelik WAF kurallarını yayımladı .
İhlal belirtilerini arayın.wp-content/uploads/ altında beklenmedik dosyaları, tanımadığınız yönetici hesaplarını ve olağandışı veritabanı kayıtlarını kontrol edin. Geniş çaplı istismar doğrulanmamış olsa da herkese açık kavram kanıtlama kodu taramaların başlamış olabileceğini gösteriyor.
Veritabanı yetkilerini gözden geçirin. WordPress veritabanı kullanıcısının FILE yetkisine sahip olmadığından emin olun. Bu yetkinin kaldırılması, INTO OUTFILE üzerinden uzaktan kod çalıştırmaya giden yolu sınırlar.
Açık kaynak yapısı riski neden artırıyor?
Şu ana kadar sahada doğrulanmış kitlesel bir istismar bulunmaması, riskin düşük olduğu anlamına gelmiyor. WordPress’in açık kaynak yapısı, wp2shell sonrasında saldırganların hızla harekete geçmesini kolaylaştırıyor:
Yama, saldırı yolunu görünür kılabiliyor. Saldırganlar güncellenmiş sürüm ile savunmasız sürümün kaynak kodunu karşılaştırarak hangi kodun değiştirildiğini inceleyebilir ve açık zincirini kısa sürede yeniden oluşturabilir .
Savunmacıların zamanı daralıyor. Kapalı kaynaklı yazılımlarda saldırı geliştirmek için genellikle bağımsız araştırma gerekir. Açık kaynak projelerde ise yama, yapılan değişikliğin ayrıntılarını da ortaya çıkarabilir.
Hedef havuzu çok geniş. WordPress’in web sitelerindeki payı yaklaşık yüzde 43 olarak veriliyor. Kurulumların güvenlik seviyesi birbirinden oldukça farklı; bazı siteler güncel olmayan PHP sürümleriyle çalışıyor veya otomatik güncellemeleri kullanmıyor .
Silahlandırma eşiği düşük. Kontrol aracı ve istismar kodunun yama yayımlandıktan sonraki 24 saat içinde paylaşılması, orta düzeyde yetkinliğe sahip saldırganların bile kodu toplu tarama aracına dönüştürebileceği anlamına geliyor .
Kimlik doğrulama engeli yok. Saldırı zinciri ön kimlik doğrulama aşamasında çalışıyor. Saldırganın geçerli parola, savunmasız eklenti veya özel bir sunucu ayarı bulması gerekmiyor .
Özetle wp2shell, WordPress çekirdeğinde yer aldığı ve varsayılan kurulumları etkilediği için alışılmış eklenti açıklarından daha geniş bir risk alanı oluşturuyor. Açık kaynak yapıda yama, bir anlamda ayrıntılı teknik açıklama işlevi de görebiliyor. Bu nedenle etkilenen sürümlerdeki siteler için en doğru yaklaşım, otomatik güncellemenin gerçekleştiğini varsaymak yerine sürümü bugün kontrol etmek ve güvenlik güncellemesini elle doğrulamak.
