wp2shell: WordPress’te acil güncellemeyle kapatılan kritik RCE açığı

Açık, Assetnote’ta görev yapan ve Searchlight Cyber bünyesinde bulunan güvenlik araştırmacısı Adam Kues tarafından keşfedilip sorumlu şekilde bildirildi .

wp2shell’in CVE numaraları

Saldırı, tek bir hatadan değil, birlikte kullanıldığında etkisi uzaktan kod çalıştırmaya kadar çıkan iki güvenlik açığından oluşuyor :

• CVE-2026-63030: WordPress REST API’sindeki toplu istek uç noktasında rota karışıklığı açığı. Kritik olarak sınıflandırılıyor ve birden fazla güvenlik sağlayıcısına göre CVSS puanı 9,8 . İlk raporlardan birinde puan 7,5 olarak yer almış, daha sonra 9,8’e güncellenmişti .
• CVE-2026-60137: WP_Query içindeki author__not_in parametresinde bulunan, kimlik doğrulama gerektirmeyen SQL enjeksiyonu açığı. Yüksek önem derecesinde değerlendiriliyor .

Hangi WordPress sürümleri etkileniyor?

• 6.9.x: 6.9.0’dan 6.9.4’e kadar olan sürümler
• 7.0.x: 7.0.0 ve 7.0.1
• 6.8.x: Güvenlik düzeltmesi 6.8.6 sürümüne taşındı

Başka bir deyişle, 6.9.x kullanan siteler 6.9.5’e, 7.0.x kullanan siteler 7.0.2’ye, 6.8.x dalındaki siteler ise 6.8.6’ya yükseltilmeli.

Saldırı teknik olarak nasıl işliyor?

wp2shell, iki açığın birbirini tamamladığı bir saldırı zinciri:

1. SQL enjeksiyonu: Saldırgan, author__not_in parametresine özel hazırlanmış HTTP istekleri göndererek WordPress veritabanına zararlı SQL ifadeleri enjekte edebiliyor. Bunun için oturum açması gerekmiyor.

2. REST API rota karışıklığı: /wp-json/batch/v1 uç noktası, tek bir çağrıda birden fazla alt isteği işlemek için kullanılıyor. İşleme sırasında oluşan ayrıştırma sorunu, iki dahili dizinin senkron dışına çıkmasına ve normalde engellenmesi gereken API çağrılarının zincirlenmesine izin verebiliyor .

Bu iki sorun birleştirildiğinde saldırgan, toplu REST API uç noktasını kullanarak SQL enjeksiyonunu tetikleyebiliyor. Son aşamada ise şu yöntemlerle tam uzaktan kod çalıştırma elde edilebiliyor:

• MySQL’in INTO OUTFILE komutunu kullanarak dosya sistemine PHP web kabuğu gibi rastgele içerikler yazmak,
• PHP kodu çalıştırılmasına yol açabilecek WordPress seçeneklerini değiştirmek .

Saldırı için kullanıcı hesabı, eklenti veya özel yapılandırma gerekmiyor; varsayılan WordPress kurulumu yeterli . 18 Temmuz 2026 itibarıyla wp2shell.com üzerinde herkese açık bir kontrol aracı yayımlandı ve çalışan bir kavram kanıtlama kodunun dolaşımda olduğu bildirildi .

Kalıcı nesne önbelleği kullanan Redis veya Memcached gibi sistemler saldırı yolunu kısmen değiştirebilir ya da sınırlayabilir. Ancak bu durum, temel güvenlik açığının ortadan kalktığı anlamına gelmiyor .

WordPress yöneticileri ne yapmalı?

1. Hemen güncelleyin. WordPress’i 6.9.5, 7.0.2 veya 6.8.6 sürümüne yükseltin. Otomatik güncellemeleri destekleyen birçok site, zorunlu güncellemeyi arka planda almış olabilir .
2. Sürümü doğrulayın. Yönetim panelinde Kontrol Paneli → Güncellemeler bölümünü açın veya wp-includes/version.php dosyasını kontrol edin.
3. Güncelleme gecikecekse WAF kullanın. Sanal yama ya da Web Uygulaması Güvenlik Duvarı kuralı geçici koruma sağlayabilir. Cloudflare, wp2shell saldırı vektörünü engellemeye yönelik WAF kurallarını yayımladı .
4. İhlal belirtilerini arayın. wp-content/uploads/ altında beklenmedik dosyaları, tanımadığınız yönetici hesaplarını ve olağandışı veritabanı kayıtlarını kontrol edin. Geniş çaplı istismar doğrulanmamış olsa da herkese açık kavram kanıtlama kodu taramaların başlamış olabileceğini gösteriyor.
5. Veritabanı yetkilerini gözden geçirin. WordPress veritabanı kullanıcısının FILE yetkisine sahip olmadığından emin olun. Bu yetkinin kaldırılması, INTO OUTFILE üzerinden uzaktan kod çalıştırmaya giden yolu sınırlar.

Açık kaynak yapısı riski neden artırıyor?

Şu ana kadar sahada doğrulanmış kitlesel bir istismar bulunmaması, riskin düşük olduğu anlamına gelmiyor. WordPress’in açık kaynak yapısı, wp2shell sonrasında saldırganların hızla harekete geçmesini kolaylaştırıyor:

• Yama, saldırı yolunu görünür kılabiliyor. Saldırganlar güncellenmiş sürüm ile savunmasız sürümün kaynak kodunu karşılaştırarak hangi kodun değiştirildiğini inceleyebilir ve açık zincirini kısa sürede yeniden oluşturabilir .
• Savunmacıların zamanı daralıyor. Kapalı kaynaklı yazılımlarda saldırı geliştirmek için genellikle bağımsız araştırma gerekir. Açık kaynak projelerde ise yama, yapılan değişikliğin ayrıntılarını da ortaya çıkarabilir.
• Hedef havuzu çok geniş. WordPress’in web sitelerindeki payı yaklaşık yüzde 43 olarak veriliyor. Kurulumların güvenlik seviyesi birbirinden oldukça farklı; bazı siteler güncel olmayan PHP sürümleriyle çalışıyor veya otomatik güncellemeleri kullanmıyor .
• Silahlandırma eşiği düşük. Kontrol aracı ve istismar kodunun yama yayımlandıktan sonraki 24 saat içinde paylaşılması, orta düzeyde yetkinliğe sahip saldırganların bile kodu toplu tarama aracına dönüştürebileceği anlamına geliyor .
• Kimlik doğrulama engeli yok. Saldırı zinciri ön kimlik doğrulama aşamasında çalışıyor. Saldırganın geçerli parola, savunmasız eklenti veya özel bir sunucu ayarı bulması gerekmiyor .

Özetle wp2shell, WordPress çekirdeğinde yer aldığı ve varsayılan kurulumları etkilediği için alışılmış eklenti açıklarından daha geniş bir risk alanı oluşturuyor. Açık kaynak yapıda yama, bir anlamda ayrıntılı teknik açıklama işlevi de görebiliyor. Bu nedenle etkilenen sürümlerdeki siteler için en doğru yaklaşım, otomatik güncellemenin gerçekleştiğini varsaymak yerine sürümü bugün kontrol etmek ve güvenlik güncellemesini elle doğrulamak.