Pazarlama değil, işe yarayan ayrıntı: yapılandırma, test yöntemi ve düzeltme adımları.
WordPress 4.7–7.1.1'deki CVE-2026-87902, hesapsız saldırganın sunucuda kod çalıştırmasına yol açabiliyor ve saldırılarda kullanılıyor. Açığın nedeni, riskli temalar, kontrol ve güvenli sürümler.
AIOS 5.4.9, 2FA kodunu parolası doğrulanan kullanıcıya değil istekten gelen hesap kimliğine karşı denetliyor — CWE-287 kimlik doğrulama kusuru.
Üç farklı müşteride benzer bir kimlik doğrulama zaafı gördük. Sorun kütüphanede değil, ona verilen seçeneklerdeydi. Neye dikkat etmeli, nasıl kapatılır.
nginx 0.8.11–1.31.6 etkileniyor, 1.30.6 ve 1.31.7 düzeltiyor (14 Ekim 2026). Yalnızca AIO açık ve SSI sayfasında include virtual varsa tetikleniyor; ikisi de varsayılan kapalı. Kontrol komutu, güvenli sürümler, geçici önlem.
PHP 8.2–8.5'in düzeltme öncesi sürümleri etkileniyor; 8.2.35, 8.3.36, 8.4.27 ve 8.5.12 düzeltiyor. 21 Ekim 2026'da yayımlandı; Cloudflare saldırı trafiği bildirdi. WordPress dışı PHP siteleri, Cloudflare'ın sınırları, sürüm kontrolü ve ara önlemler.
Kendi sunucusunda çalışan GitLab 18.7–19.3.1 etkileniyor, 19.3.2 düzeltiyor. CISA 11 Eylül 2026'dan beri sömürülüyor diyor. Sürüm kontrolü, dallara göre güvenli sürümler ve güncellemeden sonra yenilenecek anahtarlar.
Linux 6.0 ve sonrası ile RHEL, AlmaLinux, Rocky 9–10 etkileniyor; düzeltme 2025'ten beri hazır. CISA 18 Eylül 2026'da sömürülüyor listesine ekledi. kTLS kontrolü, dağıtımlara göre güvenli çekirdek ve neden yeniden başlatmak gerekiyor.
PublishPress Capabilities eklentisinde yetki başına eksik bir denetim, yetkisi devredilmiş kullanıcıyı yöneticiye yükseltiyor. Savunma odaklı güvenli kodlama incelemesi.
Tek bir sorgu parametresi, ASE eklentisinin gizli-giriş korumasını atlatıyor ve gizli giriş slug'ını ifşa ediyor: kök neden, etki ve savunma.
Her ön yüz sayfasına basılan bir AJAX nonce'u ve eksik yetki denetimleri, kimlik doğrulamasız içerik ifşasına ve düşük yetkili ayar yazmaya yol açıyor.
ElementsKit Lite 4.0.7'deki eksik yetkilendirme açığı, anonim ziyaretçilerin megamenü REST rotasıyla yayımlanmış Elementor şablonlarını okumasına izin veriyor.
Essential Blocks'ta eksik yetki denetimi, herhangi bir Katkıda Bulunan'ın yöneticinin Google Haritalar API anahtarını okumasına izin veriyor. Kök neden ve düzeltme.
GiveWP'nin v3 REST API'sindeki eksik yetki denetimi, bağışçı adlarını, tutarları ve tarihleri herkese açıyor. Savunmacılar için bozuk erişim denetimi incelemesi.
100 bin kurulumlu reCAPTCHA eklentisinde, istek URI'sindeki gevşek bir alt-dize denetimi doğrulamayı dışarıdan kapatıyor. Kök neden ve çözüm.
Happy Addons for Elementor 3.50.0'daki temizlenmemiş Mailchimp API anahtarı alanı, Katkıda Bulunan'ın sunucu taraflı istek tetiklemesine yol açıyor (CWE-918).
Login LockDown 2.18 CAPTCHA cevabını istemciye token olarak gönderiyor; yakalanan tek çift süresizce tekrar oynatılıyor. Kök neden, çözüm, tespit.
Loginizer kaba kuvvet kilidini taklit edilebilir bir IP başlığına bağlıyor; kimliksiz saldırgan limiti aşıyor. CWE-348 üzerine savunma odaklı inceleme.
Maintenance eklentisinde (1M+ kurulum) bakım duvarını kaldırma kararı, ziyaretçinin kendi ayarladığı bir çereze bakıyor ve çerez gizli anahtarla hiç karşılaştırılmıyor.
Page Optimize önbellek anahtarını ham istek URI'sinden üretiyor; kimlik doğrulamasız ziyaretçi, yinelenen dosyalarla diski ve inode'ları tüketebilir (CWE-770).
Premium Addons for Elementor 4.11.110'daki iki yetki denetimi eksikliği, Katkıda Bulunan'a yazı yayımlatıyor, anonim ziyaretçiye özel şablon okutuyor.
WP Hide & Security Enhancer 2.9.3, varsayılan "Sonra ayarla" yoluyla 2FA'yı zaten kuran kullanıcıların girişini kod sormadan tamamlıyor.
WPS Hide Login'deki bir AJAX işleyicisi yetki denetimi yapmadığı için herhangi bir abone site transient'lerini yazabiliyor. Kök neden, düzeltme ve savunma.
301 Redirects 2.85'te yalnızca nonce denetleyen bir AJAX eylemi, Abone düzeyindeki kullanıcıya site geneli bir seçeneği yazdırıyor (CWE-862).
ASE eklentisindeki bir WordPress AJAX işleyicisi yetki ve nonce denetimini atlıyor; giriş yapmış her Abone bir ek dosya kimliğini medya URL'sine çevirebiliyor.
Limit Login Attempts Reloaded 3.3.10'da eksik bir yetki denetimi, kimliksiz ziyaretçinin giriş-önbellek bildirimini açıp kapatmasına izin veriyor. CWE-862.
HSTS, CSP, X-Frame-Options ve diğerleri. Hangi başlık neyi engeller, hangi yapılandırma üretimde sorun çıkarır, nasıl kademeli geçilir.
Bildirim yükümlülüğü hukuki bir konu gibi görünür ama log ve tespit altyapısı olmadan süreye yetişmek mümkün değil.