Kamu Duyurusu: Kritik Apache HTTP/2 Güvenlik Açığı: WordPress Site Sahiplerinin Bilmesi Gerekenler
Apache, Apache HTTP Server'ın HTTP/2 modülündeki kritik bir güvenlik açığı için düzeltme yayınladı. CVE-2026-119618 numaralı sorun, etkilenen sunucularda uzaktan kod çalıştırmaya yol açabilir. WordPress siteniz Apache üzerinde barındırılıyorsa, hosting sağlayıcınızın web sitesine veya duyurularına bakarak bunu düzeltip düzeltmediğini kontrol edin.
Apache, Apache HTTP Server'ın HTTP/2 modülündeki kritik bir güvenlik açığı için düzeltme yayınladı. CVE-2026-119618 numaralı sorun, etkilenen sunucularda uzaktan kod çalıştırmaya yol açabilir. WordPress siteniz Apache üzerinde barındırılıyorsa, hosting sağlayıcınızın web sitesine veya duyurularına bakarak bunu düzeltip düzeltmediğini kontrol edin. Bunun teyidini bulamazsanız, sağlayıcınıza Apache sunucusunun HTTP/2 kabul edip etmediğini ve düzeltmenin kurulup kurulmadığını sorun.
Apache, 2.4.55 ile 2.4.70 arasındaki sürümleri etkilenen sürümler olarak listeliyor ve düzeltmeyi içeren Apache HTTP Server 2.4.71'i 11 Kasım 2026'da yayınladı. Apache ayrıca bağımsız mod_h2 sürümlerinden 2.0.8 ile 2.0.42 arasındakileri de etkilenen olarak listeliyor. Sorun, Apache'nin HTTP/2 isteklerini sunmak için kullandığı modül olan mod_http2 ile ilgili. Apache'nin varsayılan protokolü HTTP/1.1'dir; HTTP/2'nin sunucu yapılandırmasında etkinleştirilmesi gerekir. Etkilenen modül üzerinden h2 veya h2c sunmayan bir sunucu bu belirli açığa maruz kalmaz. Sağlayıcılar modül kodunu veya güvenlik düzeltmelerini geriye taşıyabilir (backport); bu nedenle yalnızca Apache sürüm numarası, sağlayıcı tarafından sunulan bir derlemenin etkilenip etkilenmediğini veya yamalanıp yamalanmadığını belirlemeyebilir.
Bu WordPress Siteleri İçin Neden Önemli?
Apache, WordPress'in önünde yer alabilen bir web sunucusu yazılımıdır. Bir istek PHP'ye veya WordPress uygulamasına ulaşmadan önce bağlantıyı işler. Bu açığı başarıyla istismar eden bir saldırgan, web sunucusu işleminin yetkileriyle kod çalıştırabilir; bu da o sunucudaki siteleri ve verileri açığa çıkarabilir veya değiştirebilir. Red Hat, sorunu HTTP/2 etkinken kimlik doğrulamasız uzaktan kod çalıştırma olarak tanımlıyor.
WordPress'i, eklentileri, temaları veya Wordfence eklentisini güncellemek Apache'yi yamalamaz. Wordfence güvenlik duvarı PHP uygulama katmanında çalışır; yani HTTP/2 bağlantısını Apache işledikten sonra devreye girer. Çözüm, Apache veya hosting sağlayıcısının güncellemesidir. Sitenizin açığa maruz kalıp kalmadığı, yalnızca WordPress çalıştırmasına değil, sunucuya ve yapılandırmasına bağlıdır.
Bildiklerimiz
- CVE tanımlayıcısı doğrulandı: Apache'nin duyurusu ve yayınlanan CVE kaydı açığı CVE-2026-119618 olarak tanımlıyor. Apache bunu kritik olarak derecelendiriyor.
- İki araştırma grubu bildirdi: Apache, açığı 26 Ekim'de Apache güvenlik ekibine bildiren Anthropic'in OSS Scanner'ını ve bunu 3 Kasım'da bağımsız olarak bildiren Google Cloud Vulnerability Research'ten Anthony Weems ile Simon Scannell'i kaynak olarak gösteriyor. 26 Ekim, Apache'nin yayınladığı ilk bildirim tarihidir; açığın ilk ne zaman keşfedildiğini göstermez.
- Sorun 11 Kasım'da kamuya açıldı: Apache o gün 2.4.71'i yayınladı ve duyurusunu herkese açık oss-security posta listesinde paylaştı. CVE kaydı da 11 Kasım'da yayınlandı. Ayrıntılar artık kamuya açık. Apache, açıklamadan önce bilgilendirilen tarafların tam bir listesini yayınlamadı.
- Herkese açık çökme kanıtı mevcut; burada incelenen kamusal materyalde kod çalıştırma gösterilmedi: Bir araştırmacı herkese açık bir test ortamı paylaştı; bu ortam 2.4.70 üzerinde bellek bozulması ve Apache alt süreç çökmeleri bildiriyor, 2.4.71 ve yalnızca HTTP/1.1 karşılaştırma çalıştırmalarını da içeriyor. Bu sonuçlar araştırmacıya aittir ve paylaşılan test uzaktan komut çalıştırmayı göstermiyor. Red Hat, kamusal araştırmanın güvenilir bir istismar gösterdiğini söylüyor, ancak duyurusu bir kod çalıştırma gösterimine bağlantı vermiyor. Wiz, 11 Kasım tarihli yazısı sırasında gerçek saldırılarda bilinen bir istismar bildirmedi. Bu kaynakların hiçbiri, bu açık üzerinden bir WordPress sitesinin ele geçirildiğini ortaya koymuyor.
Sunucunuzun Açığa Maruz Kalıp Kalmadığını Nasıl Kontrol Edersiniz?
WordPress panelinizde PHP sürümünü görebilirsiniz, ancak hosting sağlayıcınızın hangi Apache derlemesini çalıştırdığını veya HTTP/2 modülünün yamalanıp yamalanmadığını doğrulayamaz. Paylaşımlı veya yönetilen hosting kullanıyorsanız, bunu düzeltip düzeltmediklerini görmek için web sitelerine veya duyurularına bakın. Bunun teyidini bulamazsanız sağlayıcınıza şunu sorun: “Sitemi barındıran Apache sunucusu h2 veya h2c kabul ediyor mu ve CVE-2026-119618 kurulu pakette düzeltildi mi?” Güncellemeden sonra Apache'nin yeniden başlatıldığını teyit etmelerini isteyin.