WordPress 7.1.4, Kimlik Doğrulamasız Yükseltme Penceresi Kaynaklı RCE Açığını Kapatıyor; Sürümden Sonra Sömürü Girişimleri Tespit Edildi
Özet: WordPress 7.1.4, 28 Ekim 2026'da yayımlandı. WordPress'e göre 22 güvenlik açığına yönelik düzeltme içeriyor. En ciddisi, Core güncelleme sürecindeki kimlik doğrulamasız bir yarış durumu (race condition) ve uzaktan kod çalıştırmaya yol açabiliyor. Saldırganlar şimdiden sömürmeye çalışıyor; site sahipleri WordPress'in 7.1.4'e ya da kendi dalındaki ilgili güvenlik sürümüne güncellendiğini doğrulamalı.
Özet: WordPress 7.1.4, 28 Ekim 2026'da yayımlandı. WordPress'e göre 22 güvenlik açığına yönelik düzeltme içeriyor. En ciddisi, Core güncelleme sürecindeki kimlik doğrulamasız bir yarış durumu (race condition) ve uzaktan kod çalıştırmaya yol açabiliyor. Saldırganlar şimdiden bunu sömürmeye çalışıyor; bu yüzden site sahipleri WordPress'in 7.1.4'e ya da kendi dalındaki ilgili güvenlik sürümüne güncellendiğini doğrulamalı.
Wordfence Premium, Care ve Response müşterileri, sürümden yaklaşık üç saat sonra, 28 Ekim'de yeni bir güvenlik duvarı kuralı aldı. Wordfence Free kullanıcıları aynı kuralı standart 30 günlük gecikmenin ardından, 27 Kasım 2026'da alacak.
WordPress 7.1.4, WordPress Core'daki çok sayıda sorunu gideren bir güvenlik sürümü: saklanan siteler arası betik çalıştırma (stored XSS), hizmet reddi, bilgi sızıntısı, yetkilendirme zafiyetleri ve uzaktan kod çalıştırmayla sonuçlanabilen bir yarış durumu.
Uzaktan kod çalıştırma açığı, sitede hesap gerektirmemesi nedeniyle öne çıkıyor. Ancak başarılı bir sömürü için saldırganın, WordPress eksiksiz bir Core güncellemesini açarken çok dar bir zaman penceresini yakalaması gerekiyor. Normal laboratuvar ortamlarında bu pencerenin yalnızca birkaç saniye sürdüğü gözlemlendi. Yine de saldırganlar bu pencereyi yakalamak için savunmasız yolları tekrar tekrar yokluyor.
Çoğu WordPress sitesi güvenlik sürümünü otomatik arka plan güncellemeleriyle alacaktır; yine de güncellemenin tamamlandığını varsaymak yerine sitenizi kontrol etmenizi önemle öneririz. Panel > Güncellemeler bölümüne gidin ve sitenizin WordPress 7.1.4 ya da kendi dalı için yamalı sürüm ile çalıştığını doğrulayın.
Wordfence Güvenlik Duvarı Koruması
Wordfence Tehdit Müdahale Ekibi, WordPress güvenlik sürümünü duyurduktan yaklaşık üç saat sonra, 28 Ekim 2026 saat 20:30 UTC'de yeni bir engelleyici güvenlik duvarı kuralı devreye aldı. Wordfence Premium, Wordfence Care ve Wordfence Response müşterileri kuralı hemen aldı. Wordfence Free kullanıcıları ise standart 30 günlük gecikmenin ardından 27 Kasım 2026'da alacak.