TR-26-1350 - WordPress Core Ayrıntılı Güvenlik Duyurusu (CVE-2026-87902)

[Toplama Pc]

1. Genel Bilgi

WordPress; blog, haber sitesi, kurumsal internet sitesi ve çevrim içi mağaza gibi internet sitelerinin oluşturulmasını ve yönetilmesini sağlayan bir yazılımdır. Site sahipleri WordPress sayesinde her sayfayı baştan programlamak zorunda kalmadan yazı yayımlayabilmekte, görsel ekleyebilmekte ve site içeriğini güncelleyebilmektedir. WordPress tek bir şirketin kapalı ürünü değildir ve dünyanın farklı yerlerindeki geliştiricilerin katkıda bulunduğu bir açık kaynak projesi olarak geliştirilmektedir. WordPress Core ise bu sistemin temel çalışma bölümüdür.

CVE-2026-87902 kodu ile takip edilen kritik güvenlik zafiyeti, WordPress Core'un bir sayfanın hangi şablon dosyasıyla gösterileceğine karar veren bölümünde bulunmaktadır. CVE-2026-87902 kodu, uluslararası düzeyde hangi güvenlik açığından söz edildiğini karıştırmadan belirtmek için kullanılmaktadır. Normalde WordPress'in yalnızca sitenin görünümünü oluşturan tema klasörlerindeki uygun dosyaları kullanması gerekmektedir. Ancak bu açık nedeniyle kimliği doğrulanmamış bir saldırgan (unauthenticated attacker), belirli koşullarda WordPress'i tema klasörlerinin dışındaki okunabilir bir PHP dosyasını açmaya yönlendirebilmekte ve PHP dosyaları, sunucuya hangi işlemleri yapacağını söyleyen talimatlar içerebilmektedir. Sunucu ve tema koşulları uygunsa saldırgan bu yolla internet sitesinin sunucusunda uzaktan kod yürütme (Remote Code Execution, RCE) gerçekleştirebilir. Zafiyet, sonradan kurulan bir eklentiden değil, doğrudan WordPress'in temel yazılımından kaynaklanmaktadır.1 2

Bu tehlike yalnızca laboratuvarda gösterilmiş teorik bir ihtimal değildir. Gerçek saldırı trafiğinde önce internetteki savunmasız WordPress sitelerini bulmaya yönelik taramalar, ardından sunucuda dosya oluşturmayı ve PHP kodu çalıştırmayı amaçlayan girişimler gözlemlenmiştir. CVE-2026-87902 ayrıca CISA'nın gerçek saldırılarda kullanıldığı bilinen güvenlik açıklarını topladığı kataloğa eklenmiştir. Bu nedenle internete açık ve etkilenen WordPress siteleri acil olarak ele alınmalıdır.6 7

Kalıcı çözüm, WordPress Core'u güvenlik düzeltmesini içeren bir sürüme güncellemektir. CVE-2026-87902 için düzeltme, WordPress 7.1 güncellemeleri içinde ilk olarak 7.1.2 sürümünde yayımlanmış ve güvenlik güncellemesi uygun olan eski sürüm dallarına da aktarılmıştır. Ancak eski sürümler için düzeltme yayımlanmış olması, bu sürümlerin hâlâ etkin biçimde desteklendiği anlamına gelmemektedir. WordPress yalnızca en güncel sürümün etkin biçimde desteklendiğini belirttiğinden, mümkün olan sistemler kullanılan sürümün ilk düzeltilmiş olanında bırakılmamalı ve en güncel desteklenen WordPress sürümüne geçirilmelidir.1 2 4

Güncelleme, saldırganın güncellemeden önce sisteme girmiş olması ihtimalini ortadan kaldırmamaktadır. Bu nedenle düzeltme uygulanmadan önce internete açık kalan sistemlerin geçmiş web erişim kayıtları incelenmelidir. Sunucuda şüpheli dosya oluşturulduğuna veya izinsiz kod çalıştırıldığına ilişkin belirti bulunan sistemler, yalnızca güncellenip yeniden kullanıma alınmamalı ve olası bir güvenlik ihlaline uğramış sistem olarak incelenmelidir.6 7 8

2. Teknik Detaylar

2.1. Temel Bilgiler

Üretici / Vendor: WordPress

CVE Numaralandırma Yetkilisi (CVE Numbering Authority, CNA): HackerOne

Ürün: WordPress Core

Bileşen: Sayfa şablonu çözümleme; get_page_template() ve locate_template() işlevleri

CVE: CVE-2026-87902 — PUBLISHED

Zafiyet Türü: Dizin geçişi (path traversal), yerel PHP dosyası dahil etme (local PHP file inclusion) ve gerekli ortam koşullarında uzaktan kod yürütme

CWE: CWE-98 — PHP programında include/require ifadesinde kullanılan dosya adının yetersiz denetlenmesi (Improper Control of Filename for Include/Require Statement in PHP Program)

Etkilenen Servis / Özellik: İnternet üzerinden erişilebilen WordPress sayfa isteklerinin işlenmesi ve etkin tema için sayfa şablonu seçimi

Saldırı Vektörü: Ağ

Kullanıcı Etkileşimi: Gerekmiyor

Gerekli Ayrıcalıklar: Gerekmiyor

Etkilenen Sürümler: 7.1.0–7.1.1; 7.0.0–7.0.5; 6.9.0–6.9.8; 6.8.0–6.8.9; 6.7.0–6.7.8; 6.6.0–6.6.8; 6.5.0–6.5.11; 6.4.0–6.4.11; 6.3.0–6.3.11; 6.2.0–6.2.12; 6.1.0–6.1.13; 6.0.0–6.0.15; 5.9.0–5.9.17; 5.8.0–5.8.16; 5.7.0–5.7.18; 5.6.0–5.6.20; 5.5.0–5.5.21; 5.4.0–5.4.22; 5.3.0–5.3.24; 5.2.0–5.2.27; 5.1.0–5.1.25; 5.0.0–5.0.28; 4.9.0–4.9.32; 4.8.0–4.8.31; 4.7.0–4.7.36.1

Minimum Güvenli Sürüm: Tek bir ortak sürüm sınırı bulunmamaktadır. Kullanılan dal için sırasıyla 7.1.2, 7.0.6, 6.9.9, 6.8.10, 6.7.9, 6.6.9, 6.5.12, 6.4.12, 6.3.12, 6.2.13, 6.1.14, 6.0.16, 5.9.18, 5.8.17, 5.7.19, 5.6.21, 5.5.22, 5.4.23, 5.3.25, 5.2.28, 5.1.26, 5.0.29, 4.9.33, 4.8.32 veya 4.7.37 kurulmalıdır.1

Güncel Önerilen Sürüm: WordPress 7.1.2. WordPress sürüm arşivi bu sürümü güncel sürüm olarak göstermekte ve yalnızca 7.1 serisinin en son sürümünün güvenli ve etkin biçimde desteklendiğini belirtmektedir.2 4

Aktif İstismar Durumu: Doğrulandı. CISA KEV kaydı ve doğrudan saldırı gözlemleri bulunmaktadır.6 7

2.2. Zafiyet Tanımı

get_page_template(), istekten alınan pagename değerine ek bir URL çözme işlemi uygulayarak page- ile başlayan ve .php ile biten bir şablon adayı oluşturmaktadır. Etkilenen sürümlerde özel hazırlanmış kodlanmış değerler, önceki girdi işlemlerinden geçtikten sonra bu aşamada dizin geçişi bileşenlerine dönüşebilmektedir.3 8

Oluşturulan aday locate_template() işlevine aktarılmaktadır. Savunmasız uygulamada dosyanın varlığı kontrol edilmekte, ancak çözümlenmiş gerçek dosya yolunun izin verilen tema dizinlerinden birinin içinde kalıp kalmadığı yeterli biçimde doğrulanmamaktadır. Böylece uyumlu bir page- dizininden çıkılarak web sunucusu hesabının okuyabildiği başka bir yerel PHP dosyasına ulaşılabilmektedir.3 8

Uzaktan kod yürütme etkisi koşula bağlıdır. Resmi duyuruda başlıca şu gereksinimler belirtilmiştir:

• Etkin üst veya alt temada adı page- ile başlayan bir üst düzey dizinin bulunması; örneğin page-templates.
• Web sunucusu hesabının okuyabildiği ve dahil edildiğinde kullanılabilir davranış sağlayan yerel bir PHP dosyasının bulunması.
• Kamuya açık olarak gösterilen PEAR yöntemi için pearcmd.php dosyasının kullanılabilir ve PHP register_argc_argv ayarının On olması.

Resmi duyuru, eski Twenty Twelve ve Twenty Fourteen temaları ile Neve, Hestia ve Sydney temalarını uygun dizin yapısına örnek olarak vermektedir. Bu ifade, söz konusu temaların bütün sürümlerinin otomatik olarak kod yürütmeye elverişli olduğu anlamına gelmez; kurulu tema ve dosya sistemi doğrudan incelenmelidir.1 8

Düzeltme, iki ayrı koruma eklemektedir. get_page_template() içinde çözülen sayfa adı validate_file() ile denetlenmekte, locate_template() tarafında ise _wp_is_template_path_allowed() işlevi dizin geçişi içeren adayın gerçek dosya yolunun izinli tema veya uyumluluk dizinlerinden birinde kalmasını doğrulamaktadır.3

2.3. Zayıflıklar

CWE-98: Saldırganın etkileyebildiği dosya adı, PHP include işlemi öncesinde yeterli biçimde sınırlandırılmamaktadır. Bu vakada sonuç, etkin tema dizinlerinin dışındaki seçilmiş ve okunabilir bir yerel PHP dosyasının yüklenebilmesidir.1

CWE-98'in resmî adında “PHP Remote File Inclusion” ifadesi bulunmasına karşın, WordPress duyurusunda doğrulanan doğrudan teknik işlem yerel ve okunabilir bir PHP dosyasının dahil edilmesidir. Uzaktan kod yürütme, ek tema ve sunucu koşullarının karşılanmasına bağlıdır.1

MITRE ATT&CK: MS-ISAC, ABD'deki yerel ve eyalet düzeyindeki kamu kurumlarının siber güvenlik tehditlerine karşı korunmasını, siber istihbarat paylaşımını ve olaylara müdahalesini koordine eden Çok Eyaletli Bilgi Paylaşım ve Analiz Merkezi'dir. İlgili zafiyeti İlk Erişim (Initial Access, TA0001) taktiği ve Dışa Açık Uygulamadan Yararlanma (Exploit Public-Facing Application, T1190) tekniğiyle ilişkilendirmiştir. Bu eşleştirme rapor tarafından teknik mekanizmadan türetilmemiş, kaynakta yayımlandığı biçimde aktarılmıştır.5

2.4. Etkiler

Zafiyetin doğrudan etkisi, WordPress'in tema dizinleri dışındaki seçilmiş ve okunabilir bir yerel PHP dosyasını sayfa şablonu olarak dahil edebilmesidir. Bu aşama tek başına her sistemde uzaktan kod yürütüldüğü anlamına gelmemektedir.1

Uyumlu tema dizin yapısı ile kullanılabilir bir yerel PHP hedefi bir araya geldiğinde saldırgan, PHP kodunu web sunucusu hesabının ayrıcalıklarıyla yürütebilmektedir. CVSS değerlendirmesi, savunmasız sistemin gizlilik, bütünlük ve erişilebilirliği üzerindeki muhtemel etkinin yüksek olduğunu belirtmektedir.1

Doğrudan saldırı gözlemlerinde pearcmd.php erişilebilirliğinin denendiği, saldırgan kontrollü PHP içeriğinin /tmp ve /var/tmp dizinlerine yazılmaya çalışıldığı ve bazı içeriklerin erişildiğinde kabuk (shell) komutu yürütecek biçimde hazırlandığı bildirilmiştir. Başarılı dosya oluşturma, yalnızca tarama değil, sistem üzerinde kod yürütülebildiğini gösteren bir güvenlik ihlali işaretidir.7

Başarılı istismar durumunda operasyonel sonuçlar şunlardır:

• Web sunucusu hesabının erişebildiği dosya ve uygulama kaynaklarının etkilenmesi,
• WordPress içeriğinin veya uygulama dosyalarının yetkisiz değiştirilmesi,
• Web sunucusu hesabının okuyabildiği yapılandırma ve kimlik bilgilerinin açığa çıkması,
• Ek PHP dosyaları veya benzer kalıcılık bileşenlerinin oluşturulması,
• Web sitesinin bütünlük veya kullanılabilirliğinin bozulması.

Kamuya açık güvenilir kaynaklarda belirli bir tehdit aktörü (threat actor), kötü amaçlı yazılım ailesi veya adlandırılmış kampanyaya ilişkin doğrulanmış atıf bulunmamaktadır.

2.5. Sömürü Durumu

Aktif exploit var mı?: Evet. Kamuya açık çalışan teknik materyal ve genel dolaşımda tarama aracı gözlemi bulunmaktadır.7 12 13

PoC var mı?: Evet.12 13

Gerçek dünya saldırılarında istismar var mı?: Evet. Doğrudan telemetri (telemetry) ile tarama, PEAR denemesi ve dosya oluşturma aşamaları gözlemlenmiş ve CISA, zafiyeti KEV kataloğuna eklemiştir.6 7

CISA KEV: Katalogda; eklenme tarihi 25.09.2026, işlem son tarihi 28.09.2026, Known Ransomware Campaign Use değeri “Unknown”.6

CISA SSVC:

• Sömürü Durumu: Aktif
• Otomatize Edilebilirlik: Yok
• Teknik Etki: Tam
• Değerlendirme tarihi: 25.09.202610 11

Doğrudan saldırı gözlemlerine göre CVE'ye özgü ilk girişimler 22.09.2026 saat 11.49 UTC'de görülmüştür. İlk aşamada zararsız WordPress Core dosyalarının dahil edilmesiyle savunmasız sistemlerin belirlenmesi amaçlanmıştır. Aynı gün saat 15.34 UTC'de pearcmd.php üzerinden dosyaya yazma girişimi gözlemlenmiş, 23.09.2026 tarihinde trafik hacmi artmış ve kamuya açık tarama aracı kullanımına ilişkin işaretler ortaya çıkmıştır.7

İkincil teknik analiz ve haber kaynakları da koşullu kod yürütme, PoC bulunabilirliği, saldırı trafiği ve acil güncelleme gereksinimini raporlamaktadır. Kritik sürüm, mekanizma ve istismar hükümleri bu ikincil yayınlar yerine resmi duyuru, CISA kaydı ve doğrudan saldırı gözlemlerine dayandırılmıştır.14 15 16 17

Güvenli PoC Özeti:

1. Uyumlu page- dizin yapısına sahip savunmasız bir WordPress laboratuvarına kimlik doğrulaması olmadan hazırlanmış bir sayfa isteği gönderilmektedir.
2. İstek değeri, sayfa şablonu seçimini etkin tema dizininin dışındaki okunabilir bir yerel PHP dosyasına yönlendirmektedir.
3. PEAR bileşeni ve gerekli PHP ayarı bulunan laboratuvarda dosya oluşturma ile oluşturulan PHP dosyasının daha sonra dahil edilmesi, web sunucusu hesabıyla kod yürütülebildiğini kanıtlamaktadır.

PoC yalnızca doğrulanmış bir yapılandırmayı göstermektedir. Uyumlu tema dizini, erişilebilir yayımlanmış bir sayfa, okunabilir PHP hedefi, gerekli PHP/PEAR özellikleri, yazılabilir hedef konumu ve dosya sistemi kısıtlamalarının izin vermesi gibi koşullar sonuç üzerinde etkili olmaktadır. PoC, her savunmasız WordPress kurulumunun doğrudan uzaktan kod yürütmeye elverişli olduğunu veya canlı sistemlerin tamamında başarılı saldırı gerçekleştiğini kanıtlamamaktadır.12 13

Vendor/CNA doğrulama seviyesi: WordPress duyurusu zafiyeti ve temel ön koşulları doğrulamaktadır. Bağımsız kaynaklardaki çalıştırılabilir materyalin hiçbiri üretici veya CNA tarafından ayrıca onaylanmış değildir.

3. Risk Değerlendirmesi

CISA ADP — CVSS v3.1: 8.1 (Yüksek)
Vektör: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H10 11

WordPress proje duyurusu — CVSS v4.0: 9.2 (Kritik)
Vektör: CVSS:4.0/AV:N/AC:L/AT/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N1

CVSS v3.1 değerlendirmesi ek koşulların güçlüğünü AC:H altında gösterirken CVSS v4.0 değerlendirmesi düşük saldırı karmaşıklığını AC:L, gerekli ortam koşullarını ise AT olarak ayrı metriklerde ifade etmektedir. Bu nedenle iki değerlendirmedeki AC değerlerinin farklı olması tek başına teknik çelişki değildir.

İstismar Öngörü Puanlama Sistemi (Exploit Prediction Scoring System, EPSS):

• EPSS: %39,979
• Percentile: %98,611
• Doğrulama tarihi: 14.10.2026

EPSS değeri, zafiyeti müteakip 30 gün içinde istismar edilme olasılığına ilişkin istatistiksel tahmindir ve tek başına istismar kanıtı değildir. Bu vakada gerçek dünya istismarı ayrıca CISA KEV ve doğrudan saldırı gözlemleriyle doğrulanmıştır.6 7 9

Ağ üzerinden kimlik doğrulaması olmadan erişilebilmesi, kamuya açık çalışan materyalin bulunması, dosya oluşturma girişimlerinin doğrudan gözlemlenmesi ve KEV kaydı birlikte değerlendirildiğinde, internete açık ve etkilenmiş WordPress sistemlerinde güncellemenin geciktirilmemesi gerekmektedir. Uzaktan kod yürütmenin koşullu olması, temel dosya dahil etme açıklığını ortadan kaldırmamakta ve sistemin gelecekteki tema veya sunucu değişiklikleriyle daha elverişli hale gelmesini engellememektedir.

4. Etkisizleştirme (Mitigation)

WordPress tarafından güvenlik güncellemesinin yerine geçecek eksiksiz bir geçici çözüm (workaround) yayımlanmamıştır. Üreticinin temel yönlendirmesi, kullanılan sürüm dalına ait düzeltilmiş WordPress sürümünün hemen kurulmasıdır.1 2

Güncellemenin hemen uygulanamadığı kısa süre için aşağıdaki savunma kontrolleri değerlendirilebilir:

• Web uygulaması güvenlik duvarı (Web Application Firewall, WAF), ters vekil veya sınır katmanında pagename parametresindeki tek ya da çift kodlanmış dizin geçişi değerlerinin engellenmesi. Bu kontrol normal sayfa adlarında beklenmeyen bir davranışı hedeflemektedir.7 8
• Web istekleri için gerekli değilse register_argc_argv ayarının devre dışı bırakılması. Bu işlem gözlemlenen PEAR tabanlı kod yürütme geçişini kesebilmekte fakat temel dosya dahil etme zafiyetini düzeltmemektedir.7 12
• Kullanılmayan ve web sunucusu hesabı tarafından okunabilen PEAR bileşenlerinin kaldırılması veya erişiminin sınırlandırılması. Bu önlem yalnızca belirli kod yürütme yöntemlerini etkilemektedir.12
• PHP ve web sunucusu hesabının dosya sistemi yazma yetkilerinin gerekli dizinlerle sınırlandırılması.
• İnternete açık WordPress varlıklarının envanterlenmesi, etkilenmiş sürümlerin dış erişiminin güncelleme tamamlanana kadar sınırlandırılması ve ilgili web kayıtlarının korunması gerekmektedir.5 6
• Şüpheli bir isteğin savunmasız şablon yoluna ulaştığı belirlenirse yönetici hesapları, eklentiler, temalar, zamanlanmış görevler ve beklenmeyen PHP dosyaları için olay müdahalesi başlatılması gerekmektedir.7 8

Bu etkisizleştirme kontrolleri belirli saldırı yollarını azaltabilmekte fakat kalıcı güvenlik güncellemesinin yerine geçmemektedir.

5. Kalıcı Çözüm (Remediation)

Kalıcı çözüm, kullanılan WordPress sürümü için 2.1 bölümünde belirtilen düzeltilmiş sürümü kurmak ve güncellemenin başarıyla tamamlandığını doğrulamaktır. Güvenlik düzeltmesi 7.1.2 sürümünde yer almakta ve 4.7 dalındaki 4.7.37 sürümüne kadar geriye taşınmaktadır.1 2

Minimum güvenli sürüm: En eski geriye dönük güvenlik sürümü 4.7.37 olmakla birlikte, kullanılan sisteme karşılık gelen tam düzeltilmiş sürüme yükseltilmelidir.

Güncel desteklenen ve önerilen sürüm: WordPress 7.1.2. WordPress, eski sürümleri nezaketen sağlanan güvenlik geriye aktarımları olarak nitelendirmekte ve yalnızca en güncel 7.1 sürümünü etkin biçimde desteklemektedir.2 4

Güncelleme sonrasında sürüm yeniden doğrulanmalı; otomatik arka plan güncellemesinin her sistemde başarıyla tamamlandığı varsayılmamalıdır. Sistem 22.09.2026 tarihinden sonra savunmasız ve internete açık kaldıysa güncelleme işlemi geçmiş güvenlik ihlali ihtimalini ortadan kaldırmamaktadır. 6. bölümdeki göstergeler kullanılarak geriye dönük inceleme yapılmalıdır.7 8

6. Tespit / İzleme (SOC/SIEM için)

6.1. Log Göstergeleri

Web sunucusu, ters vekil (reverse proxy), WAF ve HTTP istek gövdesini kaydeden uygun erişim kaynaklarında aşağıdaki davranışlar aranmalıdır:

• GET sorgusunda veya POST gövdesinde pagename parametresi içinde %2e%2e ya da %252e%252e değerleri, bunların büyük harfli karşılıkları veya tekrarlanan kodlanmış dizin geçişi örüntüleri,
• pagename değerinin templates%2f veya etkin temadaki başka bir page- dizinine karşılık gelen kodlanmış değerle başlaması,
• Site kökü ya da /index.php üzerinde pagename ve page_id parametrelerinin aynı istekte bulunması,
• pearcmd, +config-show veya +config-create ifadeleri içeren istekler,
• Aynı hedefe farklı dizin derinlikleri, kodlama biçimleri veya hem GET hem POST yöntemleriyle yinelenen denemeler,
• Normal bir sayfa isteğine karşılık OPML veya RSS içeriği dönen HTTP 200 yanıtları; bu durum yerel dosya dahil etme işleminin gerçekleştiğine işaret edebilir,
• /tmp veya /var/tmp altında şüpheli isteklerden sonra oluşan beklenmeyen .php dosyaları.

Geriye dönük inceleme için başlangıç noktası olarak 22.09.2026 saat 11.49 UTC kullanılabilir. Ancak saat dilimi, kayıt saklama süresi ve aracı katmanların URL çözme davranışları dikkate alınmalıdır.7

6.2. IOC

Güvenlik ihlali göstergesi (Indicator of Compromise, IOC) olarak değerlendirilebilecek doğrudan gözlemler aşağıdadır. Tek bir gösterge, ek olay verisi olmadan kesin atıf veya başarılı istismar kanıtı sayılmamalıdır.

Gözlemlenen trafik birkaç yüz adrese yayılmıştır. Kaynak adresler değişken niteliktedir; yalnızca IP engelleme kalıcı bir savunma yöntemi değildir.7

Gözlemlenen dosya adları:

• wp-pear-rce-flag.php
• poc87902.php
• luci_<random>.php
• zeta_<random>.php

Bu dosyalar /tmp ve /var/tmp dizinlerinde gözlemlenmiştir. Bazıları yalnızca kod yürütmeyi doğrulayan işaretleyici içerirken bazı örneklerin erişildiğinde kabuk komutu yürütecek içerik taşıdığı bildirilmiştir. Bu nedenle dosya adları tek başına kötü amaçlılık veya aktör atfı sağlamaz; ancak beklenmeyen bir dosyanın varlığı başarılı dosya oluşturma aşamasının göstergesi kabul edilmelidir.7

Gözlemlenen kullanıcı aracısı değerleri:

• cve-2026-87902-poc/1.0
• nuclei-cve-2026-87902/1.0

Kalan trafiğin önemli bölümü tarayıcı kullanıcı aracısı (user-agent) değerlerini taklit etmektedir. Bu nedenle yalnızca kullanıcı aracısına dayalı filtreleme yeterli değildir.7

Bu vakaya özgü, sabit ve kamuya açık doğrulanmış alan adı, dosya özeti veya kötü amaçlı yazılım ailesi göstergesi yayımlanmamıştır.

6.3. Tespit Kuralı Önerisi

Aşağıdaki davranış korelasyonu önerilir:

1. İnternete açık WordPress sisteminin sürümünü ve düzeltme durumunun belirlenmesi.
2. Aynı HTTP isteğinde pagename ile page_id birlikteliğini ve pagename içinde tek veya çift kodlanmış dizin geçişi değerlerinin aranması.
3. pearcmd, config-show veya config-create ifadeleri bulunan olayların önceliğinin yükseltilmesi.
4. Şüpheli HTTP isteğinin, aynı zaman aralığındaki /tmp veya /var/tmp dosya oluşturma kayıtlarının ve PHP/web sunucusu hesabının dosya işlemleriyle ilişkilendirilmesi.
5. Normal sayfa isteğine karşılık OPML/RSS içeriği döndüğü veya beklenmeyen PHP dosyası oluştuğu doğrulanırsa sistemin yalnızca taranmış değil, olası güvenlik ihlaline uğramış olarak ele alınması.
6. Yönetici hesabı değişiklikleri, eklenti/tema değişiklikleri, zamanlanmış görevler, WordPress Core dosya bütünlüğü ve web sunucusundan başlayan beklenmeyen ağ bağlantıları için kapsamlı incelemenin başlatılması.

URL çözme ve kod çözme işlemleri WAF, ters vekil, web sunucusu ve SIEM katmanlarında farklı çalışabilmektedir. Geliştirilen kurallar üretime alınmadan önce kontrollü ortamda tek ve çift kodlama, büyük/küçük harf, GET/POST ve normal WordPress trafiğiyle test edilmelidir.7 8

7. Kaynaklar

1. WordPress / wordpress-develop - Unauthenticated path traversal in page-template resolution leading to conditional RCE
2. WordPress.org - WordPress 7.1.2 Release
3. WordPress Trac - Changeset 63792
4. WordPress.org - Release Archive
5. Center for Internet Security - A Vulnerability in WordPress Could Allow for Remote Code Execution
6. CISA - Known Exploited Vulnerabilities Catalog
7. Patchstack - CVE-2026-87902: Attackers Started Probing WordPress Sites Hours After the Patch
8. Wordfence - PSA: Critical Unauthenticated Path Traversal Vulnerability Patched in WordPress Core
9. FIRST - EPSS API
10. CVE Program - CVE Record: CVE-2026-87902
11. NIST NVD - CVE-2026-87902 Detail
12. Robert Ressl - CVE-2026-87902 — WordPress Core: unauthenticated path traversal in page-template resolution
13. joaovicdev - EXPLOIT-CVE-2026-87902
14. SOC Prime - CVE-2026-87902: Critical WordPress Core Flaw Enables Unauthenticated RCE Under Certain Conditions
15. BleepingComputer - Hackers start exploiting critical WordPress flaw for code execution
16. Feedly - CVE-2026-87902 - Exploits & Severity
17. UNDERCODE NEWS - WordPress Vulnerability Could Let Attackers Execute Code on Vulnerable Websites + Video