---
title: "WordPress açığının yaması kurulurken site bir kez daha açık kalıyor"
description: "WordPress açığı CVE-2026-119977 için çıkan yama, kurulumda eski kodla çalışıyor. Güncellemeden önce wp-content/upgrade erişimini kapatın."
image: "https://sezer.in/wp-content/uploads/2026/11/wp-update.jpg"
url: "https://sezer.in/haberler/wordpress-acigi-cve-2026-119977/"
date: "2026-11-07T07:40:54+03:00"
updated: "2026-11-07T07:40:54+03:00"
author: "Sezer Şanlıkan"
lang: "tr"
source: "https://sezer.in/haberler/wordpress-acigi-cve-2026-119977/"
---

# WordPress açığının yaması kurulurken site bir kez daha açık kalıyor

Picus Security araştırmacısı Umut Bayram, aktif istismar edilen CVE-2026-119977 kodlu WordPress açığı için çıkan yamanın, kurulduğu güncelleme sırasında siteyi son bir kez açıkta bırakabildiğini bildirdi. Açık 4.7 ile 7.1.3 arasındaki sürümleri etkiliyor; düzeltme 7.1.4 ile 4.7'ye kadar eski branch'lerin güncellemelerinde geldi. CISA açığı bu hafta bilinen istismar edilen açıklar kataloğuna ekledi.

## WordPress nedir?

WordPress, PHP ile yazılmış açık kaynak bir içerik yönetim sistemidir. Blog, kurumsal site ve e-ticaret sitesi kurmak için kullanılır; eklenti ve tema altyapısıyla genişletilir. Paylaşımlı hosting'den kendi sunucusunu yönetenlere kadar geniş bir kullanıcı kitlesi vardır. Drupal ve Joomla bilinen alternatifleridir.

## WordPress açığı güncelleme anında da çalışıyor

Yama, geçici klasöre rastgele bir ad veriyor. Ancak yamayı kuran güncelleme, paketi sitedeki eski kodla açıyor. 5.9 veya üstündeyseniz klasör adı indirilen dosyadan türetiliyor ve son bir kez tahmin edilebiliyor. Hesabı olmayan bir saldırgan bu pencerede kurulum script'ine ulaşırsa kendi veritabanını bağlayıp web sunucusunun yetkileriyle PHP kodu çalıştırabiliyor.

## Hangi siteler risk altında

Risk, complete package alan sitelerde yoğunlaşıyor: eski bir branch'ten 7.1.4'e geçen, core dosyaları checksum'la eşleşmeyen veya reinstall yapan siteler. Partial package ancak kurulum dosyalarını içeriyorsa açık bırakıyor. 4.4 ile 5.8 arasında klasör adı rastgele karakter alıyor. 4.6 ve öncesi için yama yok.

## Puanlar birbirini tutmuyor

Wordfence bu WordPress açığına CVSS 8.1 verdi, WordPress'in kendi danışma notu ise düşük diyor. Wordfence, iki kaynağın küçük site gruplarını yaklaşık 14,5 saat boyunca yokladığını yazıyor. GitHub'daki exploit kodlarının çalıştığı henüz doğrulanmadı.

## WordPress açığını kapatma sırası

Otomatik arka plan güncellemesi açıksa yama aynı adımlarla kendiliğinden kurulacak. Bu yüzden önce klasörü kapatın.

1. Nginx'te:

```
location ^~ /wp-content/upgrade/ { deny all; }
```

Yalnızca .htaccess düzenleyebiliyorsanız kök dizindeki dosyaya, WordPress rewrite kurallarının üstüne `RedirectMatch 403 ^/wp-content/upgrade/` ekleyin.

1. 403 döndüğünü doğrulayın:

```
curl -I https://ornek.com/wp-content/upgrade/
```

1. Sonra 7.1.4 veya branch'inizin yamalı sürümüne geçin. `wp core update` aynı updater'ı kullandığı için güvenli bir alternatif değil.
2. Yayından sonra etkilenen sürümde kalan sitelerde wp-content/upgrade altındaki PHP dosyalarını, tanınmayan yönetici hesaplarını ve kurulmamış eklentileri kontrol edin.