HTTP2Shell: Kritik Brotli Açığı WordPress Siteleri İçin Ne Anlama Geliyor?

22 Ekim 2026'da Google, Brotli projesinin düzeltilmiş sürümleri yayımlamasından bir gün sonra, Brotli'deki kritik bir güvenlik açığı olan CVE-2026-111497'yi yayımladı. Bu açık, düzeltilmiş sürümler çıktıktan sonra resmî olmayan çeşitli adlarla dolaşıma girdi; bunların arasında HTTP2Shell, Node2Shell ve Brotli2Shell de var. İlk addan anlaşılanın aksine, açık HTTP/2 protokolüyle ilgili değildir. CVSS v4.0 puanı 10 üzerinden 9,2'dir. Özel hazırlanmış bir Brotli akışı belleği bozabilir. Bir saldırgan, ağa açık ve savunmasız bir sürecin bu akışı çözmesini sağlayabilirse, açık kimlik doğrulaması gerektirmeden uzaktan kod çalıştırmaya yol açabilir.

Bu, WordPress çekirdeğinde, bir eklentide ya da bir temada bulunan bir açık değildir. Ancak WordPress, sunucudan başka web sitelerinden veri çekmesini isteyebilir ve sunucu yanıtı işlerken Brotli kullanabilir. Herkese açık bir kavram kanıtı, savunmasız kitaplığa ulaşmak için WordPress'in kimlik doğrulaması gerektirmeyen XML-RPC pingback özelliğini kullanıyor.

Wordfence Threat Intelligence ekibi, yalıtılmış bir WordPress laboratuvarında uzaktan kod çalıştırmayı yeniden üretti ve herkese açık istismarın birbirine yakın sunucu yapılandırmaları arasında ne kadar aktarılabildiğini test etti. Bu yazıda neyi doğruladığımızı, testin neyi kanıtlayıp neyi kanıtlamadığını ve WordPress site sahiplerinin ne yapması gerektiğini anlatıyoruz.

Özet

• Barındırma sağlayıcınıza, sitenizin kullandığı Brotli kitaplığının CVE-2026-111497 için yamalanıp yamalanmadığını sorun. WordPress'i, bir eklentiyi ya da bir temayı güncellemek bu sunucu düzeyindeki kitaplığı güncellemez.
• Laboratuvar testlerimiz WordPress üzerinden kimlik doğrulamasız uzaktan kod çalıştırmayı doğruladı. Herkese açık kavram kanıtı, tasarlandığı PHP 8.3.36 sunucu ortamında tekrar tekrar kod çalıştırdı. Brotli yamalandıktan sonra çalışmadı.
• Mevcut istismar sunucu yapılandırmasına bağlıdır. Aynı yük PHP 8.3.35'e karşı çalışmadı; ancak savunmasız bir test ortamında PHP'yi çökertti. Bu, herkese açık yükün evrensel olmadığını gösteriyor. Saldırganlar yine de yaygın kullanılan sunucu yapılandırmalarına uyarlayabilir; ancak rastgele bir WordPress sunucusuna uzaktan uyarlanabildiğini göstermedik.
• CISA, CVE-2026-111497'yi bilinen istismar edilen açıklar arasında listeliyor; ancak herkese açık kaydı etkilenen uygulamayı, saldırı yolunu ya da sonucu belirtmiyor. Sensör ağları istismar girişimlerini kaydetmeyi sürdürüyor; ancak 2 Kasım'a kadar incelediğimiz herkese açık raporlar, üretim ortamında başarılı bir ele geçirmeyi ya da WordPress üzerinden bir ele geçirmeyi belgelemiyor.

Brotli nedir ve WordPress ile ne ilgisi var?

Brotli, bir sıkıştırma biçimi ve yazılım kitaplığıdır; web içeriğini küçültüp daha hızlı aktarmak için kullanılır. Genellikle işletim sistemi, barındırma platformu, konteyner imajı, web sunucusu ya da yazılım yığınının başka bir parçası tarafından sağlanır. Site sahipleri, WordPress panelinde "Brotli" ifadesini hiç görmeden de onu kullanıyor olabilir.

Brotli hem gelen hem giden web trafiği için kullanılabilir. Gösterilen WordPress saldırısında tehlikeli veri, siteye gönderilen istekte doğrudan taşınmaz. Bunun yerine WordPress, saldırganın denetimindeki bir sunucuya giden bir istek yapar ve savunmasız Brotli kitaplığı sıkıştırılmış yanıtı işler.