CVE-2026-87902: WordPress'iniz uzaktan kod çalıştırma saldırılarına ne kadar yakın?

WordPress 7.1.2, 4.7 sürümünden bu yana aktif olan bir kimlik doğrulaması gerektirmeyen dosya dahil etme bug'ını düzeltiyor ve yama uygulanabilir ancak uzaktan kod çalıştırma saldırılarına açık. 22 Eylül'de yayınlanan WordPress 7.1.2, CVE-2026-87902 (CVSS puanı 9.2) olarak izlenen ve CMS'in sayfa şablonlarını çözme şeklinin bir sonucu olan bir kimlik doğrulaması gerektirmeyen yerel dosya dahil etme sorununu ele alıyor ve bu, uzaktan kod çalıştırma için gerçek bir yol sunuyor. Hatalar, 4.7.0 sürümüne kadar tüm sürümleri etkiliyor. Bu, neredeyse bir on yıl boyunca sürümlerin yayınlandığı anlamına geliyor ve bunu tetiklemek için kimsenin hesaba ihtiyacı yok. Robert Ressl, bunu rapor ettiği için kredi alıyor. Açıklık, get_page_template() işlevinde, yani WordPress'in sayfa şablonlarını çözümleme şeklinin içinde yer alıyor.