WordPress Güvenlik Açığı: WooCommerce Mağazası İçin Kasım 2026 Uyarısı

WordPress çekirdeğindeki CVE-2026-119977 numaralı WordPress güvenlik açığı, sitenin güncellendiği kısa süre içinde oturum açmamış birinin sunucuda kod çalıştırmasına yol açabilir. Açık WordPress 4.7 ile 7.1.3 arasındaki sürümleri etkiler; 28 Ekim 2026'da yayımlanan WordPress 7.1.4 ve eski dallar için çıkan eş sürümler açığı kapatır. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) açığı 3 Kasım'da, istismar edildiği bilinen açıklar kataloğuna ekledi. Aynı günlerde WooCommerce mağazalarında kullanılan beş eklentide kritik açıklar ve LiteSpeed Cache'te müşteri bilgilerini açığa çıkarabilen bir açık duyuruldu. Mağaza sahibinin ilk işi WordPress sürümünü, kurulu eklentileri ve yönetici hesaplarını kontrol etmektir.

Yazı, WordPress ve WooCommerce'i kendi sunucusunda ya da kendi barındırma hesabında çalıştıran mağazalar içindir. Altyapı firmasının sunucusunda hazır paketle çalışan mağazalar bu yazının kapsamında değildir.

Yazılım	Etkilenen Sürümler	Yapılacak İş
WordPress Çekirdeği	4.7 – 7.1.3	7.1.4 ya da kullanılan dalın yamalı sürümü
Security For WooCommerce	1.0.10 – 1.0.16	Düzeltilmiş sürüm yok; eklenti devre dışı bırakılıp silinir
PDF Invoice for WooCommerce + Drag and Drop Template Builder	7.1.1 ve öncesi	7.2.0 ya da daha yeni sürüm
WooCommerce Appointments	5.3.2 ve öncesi	Kurulu sürümün düzeltmeyi içerdiği geliştiriciden teyit edilir
Bot for Telegram on WooCommerce	1.3.0 ve öncesi	Düzeltilmiş sürüm yok; eklenti devre dışı bırakılıp silinir
Checkout Files Upload for WooCommerce	2.4.0 öncesi	2.4.0 ya da daha yeni sürüm; kabul edilen dosya türleri ayarı kontrol edilir
LiteSpeed Cache	7.9.1 ve öncesi	Güncel sürüm; sepet ve ödeme sayfaları denenir

WordPress güvenlik açığı CVE-2026-119977 ve etkilenen sürümler

ABD Ulusal Güvenlik Açığı Veritabanı (NVD) kaydına göre açık, WordPress'in tam paketle yapılan çekirdek güncellemelerinde kullandığı geçici klasör yollarının tahmin edilebilir ve web'den erişilebilir olmasından kaynaklanır. Bu durum, kimlik doğrulaması yapılmamış bir saldırganın güncelleme süren kısa pencerede sunucuda kod çalıştırmasını mümkün kılar. Kaydın önem puanı CVSS 3.1 ölçeğinde 8,1'dir (yüksek).

Wordfence'in WordPress 7.1.4 üzerine yayımladığı analize göre saldırının başarılı olması için tam çekirdek güncellemesinin tam o anda sürmesi gerekir; bu pencere laboratuvar ortamında yalnızca birkaç saniye açık kaldı. Açığın pratikte kullanılması bu yüzden zordur, ancak saldırganlar aynı yolları otomatik olarak tekrar tekrar yokluyor. Wordfence'in 5 Kasım tarihli uyarısına göre saldırılar açığın duyurulduğu 28 Ekim'de başladı, en yoğun dönem 29 Ekim ile 1 Kasım arası oldu ve şirketin güvenlik duvarı 240.000'den fazla istismar denemesini engelledi. Wordfence, engellenen isteklerin çokluğunun çok sayıda sitenin ele geçirildiği anlamına gelmediğini de belirtir.

Açık kullanılırsa etkisi geniştir: Wordfence'e göre saldırgan yönetici hesabı açabilir, sunucuya zararlı PHP kodu yükleyebilir ve buradan siteye arka kapı yerleştirebilir, içeriği değiştirebilir ya da veri sızdırabilir. CISA açığı 3 Kasım'da kataloğuna aldı. Siber Güvenlik Başkanlığı (USOM) da 2 Kasım tarihli TR-26-1433 numaralı bildiriminde açığı listeledi ve sistem yöneticilerine gerekli önlemlerin ivedilikle alınmasını tavsiye etti.

WordPress sürümünü ve otomatik güncellemeyi kontrol etme

WordPress 28 Ekim'de 7.1.4 sürümünü yayımladı ve bunun bir güvenlik sürümü olduğunu belirterek sitelerin hemen güncellenmesini önerdi. Düzeltmeler 4.7'ye kadar bütün eski dallara da taşındı. Kullandığınız dalın aşağıdaki sürümünde ya da daha yenisindeyseniz bu açığa karşı yamalısınız:

WordPress Dalı	Yamalı Sürüm
7.1	7.1.4
7.0	7.0.8
6.9	6.9.11
6.8	6.8.12
6.7	6.7.11
6.6	6.6.11
6.5	6.5.14
6.4	6.4.14

Daha eski dalların yamalı sürümleri 6.3.14, 6.2.15, 6.1.16, 6.0.18, 5.9.20, 5.8.19, 5.7.21, 5.6.23, 5.5.24, 5.4.25, 5.3.27, 5.2.30, 5.1.28, 5.0.31, 4.9.35, 4.8.34 ve 4.7.39'dur. WordPress yalnızca en güncel sürümü etkin olarak desteklediğini hatırlatır; eski dallara taşınan düzeltmeler bir kolaylıktır. Wordfence'e göre 4.6 ve öncesi güvenlik güncellemesi almaz. Eski bir dalda kalan mağaza yamalı sürüme geçtikten sonra güncel ana sürüme yükseltmeyi de planlar.

WordPress'in belgelerine göre otomatik güncellemeler sitelerin çoğunda varsayılan olarak açıktır ve bakım ile güvenlik sürümleri arka planda kurulur. Wordfence yine de güncellemenin tamamlandığını varsaymak yerine yönetim panelindeki Güncellemeler ekranında sürümün görülmesini önerir. Otomatik güncellemesi kapatılmış, dosya izinleri yüzünden tek tıkla güncellenemeyen ya da güncellemeleri bir ajansın elle yaptığı sitede sürüm kendiliğinden yükselmez.

Wordfence, yamasız sürümden yamalı sürüme geçerken açık güncelleme sürecinin son bir kez çalışacağını, ancak pencerenin yalnızca güncelleme süresince açık kalacağını yazar ve güncellemenin ertelenmemesini önerir. Ek önlem olarak, güncellemeden önce web sunucusu düzeyinde wp-content/upgrade klasöründeki PHP dosyalarına erişimin kapatılabileceğini belirtir. Bu ayar WordPress panelinden değil, sunucuyu yöneten kişi ya da barındırma firması tarafından yapılır.

Güncelleme gecikmişse bakılacak izler

Mağaza 28 Ekim'den sonra bir süre yamasız kaldıysa güncellemek tek başına yetmez. Wordfence şu izlerin aranmasını önerir:

• Erişim Kayıtları: Sunucunun erişim kayıtlarında wp-content/upgrade klasöründeki PHP dosyalarına, özellikle setup-config.php dosyasına gelen istekler. Wordfence'e göre meşru hiçbir güncelleme bu dosyalara dışarıdan istek gerektirmez.
• Upgrade Klasörü: wp-content/upgrade klasöründe güncellemeden geriye kalmış dosya ya da klasör.
• Yeni Yönetici Hesabı: Kullanıcı listesinde tanımadığınız yönetici hesabı.
• Beklenmeyen Eklenti: Eklenti listesinde sizin kurmadığınız bir eklenti.
• Yabancı PHP Dosyası: Sunucuda sizin ya da geliştiricinizin koymadığı PHP dosyaları.

Böyle bir iz bulunursa Wordfence beklenmeyen dosyaların, eklentilerin ve bilinmeyen yönetici hesaplarının kaldırılmasını ve sitenin arka kapı için incelenmesini önerir. Kayıtlarda iz bulunmaması da sitenin ele geçirilmediğini kesin olarak göstermez. Yönetici yetkisi ele geçirilmiş bir mağazada müşteri ve sipariş verileri de risk altında olduğu için inceleme sunucuya erişimi olan bir uzmanla yapılır.

WooCommerce eklentilerinde kritik açıklar

Ekim sonu ve Kasım başında NVD'ye giren kayıtlar arasında WooCommerce mağazalarında kullanılan beş eklentinin açığı CVSS ölçeğinde 9 ve üstü puan aldı. Beşi de oturum açmamış bir ziyaretçi tarafından kullanılabilir. Önce eklenti listenizde bu adların olup olmadığına bakın; varsa kurulu sürümü aşağıdaki aralıkla karşılaştırın.

Security For WooCommerce (CVE-2026-100109)

NVD kaydına göre eklentinin 1.0.10 ile 1.0.16 arasındaki sürümleri, ziyaretçinin kullanabildiği bir işlemle kullanıcı oluştururken yetki denetimi yapmaz ve yeni hesabın rolünü isteği gönderenin seçmesine izin verir. Bu, yönetici hesabı açılıp sitenin ele geçirilmesine yol açabilir; puan 9,8'dir. Açığı kaydeden WPScan bilinen bir düzeltme olmadığını yazar. Eklenti WordPress.org dizininde 13 Ekim'den beri kapalıdır ve indirilemez. Bu eklentiyi kullanan mağaza onu devre dışı bırakıp siler ve yönetici hesaplarını gözden geçirir.

PDF Invoice for WooCommerce + Drag and Drop Template Builder (CVE-2026-109220)

NVD kaydına göre fatura eklentisinin 7.1.1 ve önceki bütün sürümlerinde PHP nesne enjeksiyonu (PHP Object Injection) açığı vardır ve oturum açmamış bir saldırgan sunucuda kod çalıştırabilir. Puan 9,8'dir; USOM'un 2 Kasım tarihli bildirimi de bu açığı listeler. Eklentinin 29 Ekim'de yayımlanan 7.2.0 sürümünün notunda güvenlik düzeltmesi yazar. Güncellemeden sonra bir deneme siparişinin faturasının oluştuğu kontrol edilir.

WooCommerce Appointments (CVE-2026-32557)

BookingWP'nin randevu eklentisinde SQL enjeksiyonu açığı vardır; NVD kaydı 5.3.2 ve önceki sürümleri etkilenen sayar ve puanı 9,3 olarak verir. Açığı kaydeden Patchstack, oturum açmamış birinin kullanabildiği bu açıkla veritabanının okunabileceğini, değiştirilebileceğini ya da silinebileceğini belirtir; kaydın 5 Kasım'daki hâli resmî bir yamanın bulunmadığını yazıyordu. Geliştiricinin değişiklik kaydında 5.4 ve 5.5 dalında yeni sürümler görünür, ancak bu açığa ait bir not yer almaz. Eklentiyi kullanan mağaza, kurulu sürümün açığı kapattığını geliştiriciden yazılı olarak teyit eder.

Bot for Telegram on WooCommerce (CVE-2026-109516)

NVD kaydına göre eklentinin 1.3.0 ve önceki bütün sürümlerinde kimlik doğrulama atlatılabilir: oturum açmamış bir saldırgan, yönetici dahil herhangi bir kullanıcının hesabıyla oturum açabilir. Puan 9,8'dir ve açık USOM'un 30 Ekim tarihli TR-26-1425 numaralı bildiriminde de yer alır. Eklenti WordPress.org dizininde 23 Ekim'den beri kapalıdır. Telegram bildirimleri için bu eklentiyi kullanan mağaza onu kaldırır ve yönetici hesaplarını kontrol eder.

Checkout Files Upload for WooCommerce (CVE-2026-103688)

Ödeme adımında müşteriden dosya almaya yarayan bu eklentinin 2.4.0 öncesi sürümleri, kabul edilen dosya türleri ayarı boş bırakıldığında yüklenen dosyanın türünü denetlemez; eklenti boş ayarı her dosyayı kabul etmenin yolu olarak belgeliyordu. NVD kaydına göre oturum açmamış bir kullanıcı PHP dahil her türlü dosyayı yükleyebilir ve yükleme klasöründen PHP çalıştıran sunucuda bu, uzaktan kod çalıştırmaya varır; puan 9,8'dir.

Eklentinin 20 Ekim'de yayımlanan 2.4.0 sürümünde boş ayar artık her dosyaya izin vermez, yalnızca WordPress'in izin verdiği türler kabul edilir. SVG, PSD ya da yazı tipi gibi başka türler kabul edilecekse ayara açıkça yazılmaları gerekir. Güncellemeden sonra ayarda yalnızca gerçekten gereken dosya türlerinin yazılı olduğu kontrol edilir.

LiteSpeed Cache ve WooCommerce müşteri bilgileri

NVD'ye 5 Kasım'da giren kayda göre LiteSpeed Cache eklentisinin 7.9.1 ve önceki sürümlerinde, varsayılan olarak açık gelen REST önbelleği ayarı WooCommerce'in sepet ve ödeme yanıtlarını herkese açık önbellek kaydı olarak saklar. Böylece bir alışverişçiye özel yanıt, sonradan gelen başka bir ziyaretçiye sunulabilir. Açığa çıkabilecek bilgiler arasında başka bir müşterinin adı, şirketi, adresi, e-postası ve telefonu ile sepet içeriği ve tutarları vardır. Kaydın puanı 8,2'dir (yüksek).

NVD kaydı yalnızca 7.9.1 ve öncesini etkilenen sayar. Eklentinin 20 Ekim'de yayımlanan 7.9.2 sürümünün notlarında önbellekte ziyaretçi ayrımının sağlamlaştırıldığı yazar; WordPress.org'daki güncel sürüm 7.9.3'tür. Güncellemeden sonra sepet ve ödeme sayfalarının iki ayrı tarayıcıda farklı müşteri bilgileriyle açıldığı denenir. Kişiye özel sayfaların önbelleğe alınmasının sepette yol açtığı sorunlar WooCommerce sepet ve ödeme sayfalarında eski bilgi görünmesi maddesinde anlatılır. Müşteri bilgisinin açığa çıktığından şüpheleniyorsanız kişisel veri ihlalinde izlenecek yol e-ticaret veri gizliliği ve güvenlik yazısında yer alır.

WooCommerce 11.2.2 ve WooPayments güvenlik sürümleri

WooCommerce'in kendisi de 4 Kasım'da 11.2.2 sürümünü yayımladı. WooCommerce geliştirici blogu bu sürümü birden çok güvenlik güncellemesi içeren bir güvenlik sürümü olarak tanımlar ve en kısa sürede kurulmasını önerir. Sürüm bir veritabanı güncellemesi de içerdiği için kurulumdan önce güncel bir yedek alınır.

WooPayments kullanan mağazalar için 3 Kasım'da ayrı bir güvenlik güncellemesi duyuruldu; düzeltme her sürüm hattı için ayrı bir sürüm olarak yayımlandı (örneğin 11.2.0 kullanan mağaza için 11.2.1). WooCommerce, otomatik güncelleme açık olsa ya da güncellemeleri barındırma firması yapsa bile kurulu sürümün kontrol edilmesini ister.

Sunucudaki PHP için ayrı güvenlik güncellemesi

Bu açıklardan önce, 21 Ekim'de PHP'nin kendisindeki iki kritik açık (CVE-2026-109618 ve CVE-2026-109619) kapatıldı. USOM aynı gün TR-26-1372 numaralı bildirimi yayımladı; CISA iki açığı 26 Ekim'de istismar edildiği bilinen açıklar kataloğuna ekledi. WordPress ya da WooCommerce'i güncellemek bu açıkları kapatmaz; güncellenecek olan sunucudaki PHP'dir. Sürümün nasıl bulunacağı ve güncellemenin hangi sırayla yapılacağı WooCommerce PHP güvenlik güncellemesi yazısında anlatılır.

WooCommerce mağazasında yapılacak kontroller

Bu açıkların hepsi için mağaza sahibinin bakacağı yerler kısadır:

• WordPress Sürümü: Güncellemeler ekranında 7.1.4 ya da dalınızın yamalı sürümü görünür.
• WooCommerce Sürümü: 4 Kasım'da yayımlanan 11.2.2 güvenlik sürümü ya da daha yenisi kuruludur.
• Eklenti Listesi: Bu yazıdaki altı eklentiden kurulu olanların sürümü karşılaştırılır; düzeltilmiş sürümü olmayanlar silinir.
• Yönetici Hesapları: Tanımadığınız yönetici hesabı yoktur; işten ayrılan kişilerin hesapları kapatılmıştır.
• Kullanılmayan Eklentiler: Devre dışı duran ama kurulu kalan eklentiler silinir; kurulu her eklenti güncel tutulması gereken bir yazılımdır.
• Yedek: Güncellemeden önce dosyaların ve veritabanının yedeği alınır ve sunucunun dışında saklanır.

Uzman desteği gerektiren durumlar

Erişim kayıtlarında wp-content/upgrade klasörüne gelen istek, tanımadığınız bir yönetici hesabı ya da sizin koymadığınız bir PHP dosyası gördüyseniz, mağaza eski bir WordPress dalındaysa ya da düzeltilmiş sürümü olmayan bir eklentinin işini başka bir çözüme taşımanız gerekiyorsa sunucuya erişimi olan bir uzmanla çalışılır. AdPix, WooCommerce e-ticaret kurulumu hizmetinde çekirdek, tema ve eklenti güncellemelerini önce test kopyasında dener, sonra canlı mağazaya alır; dosyaları ve veritabanını düzenli olarak sunucunun dışına yedekler; güçlü yönetici şifreleri, iki adımlı giriş, sınırlı yönetici yetkisi ve kullanılmayan eklentilerin kaldırılmasıyla mağazanın güvenlik ayarlarını kurar. Yayındaki bir mağazanın teknik talepleri sözleşmede yazılı kapsamla e-ticaret teknik destek hizmetinde ele alınır.

WordPress güvenlik açığı için diğer rehberler

• WooCommerce e-ticaret kurulumu
• E-ticaret teknik destek
• WooCommerce PHP güvenlik güncellemesi
• E-ticaret veri gizliliği ve güvenlik
• WooCommerce sepet ve ödeme sayfalarında eski bilgi görünmesi
• Web uygulaması güvenlik duvarı (WAF) nedir

WordPress güvenlik açığı hakkında sık sorulan sorular

WordPress 7.1.4 güncellemesi otomatik olarak kurulur mu?

WordPress'in belgelerine göre bakım ve güvenlik sürümleri çoğu sitede arka planda kendiliğinden kurulur. Otomatik güncelleme kapatılmışsa ya da site dosya izinleri yüzünden tek tıkla güncellenemiyorsa sürüm yükselmez. Bu yüzden yönetim panelindeki Güncellemeler ekranında 7.1.4'ün ya da dalınızın yamalı sürümünün kurulu olduğunu görün.

CVE-2026-119977 açığı sitemi etkiliyor mu?

Açık WordPress 4.7 ile 7.1.3 arasındaki sürümleri etkiler. Siteniz 7.1.4'te ya da kullandığı dalın yamalı sürümündeyse (örneğin 7.0.8, 6.9.11 ya da 6.8.12) bu açık kapanmıştır. 4.6 ve daha eski sürümler kaydın aralığında değildir, ancak hiçbir güvenlik güncellemesi almaz; desteklenen bir sürüme yükseltilmeleri gerekir.

Yamasız sürümden güncellemek açığı tetikler mi?

Wordfence'e göre yamasız sürümden yamalı sürüme geçerken açık güncelleme süreci son bir kez çalışır; pencere yalnızca güncelleme süresince açık kalır ve yamalı sürümden sonraki güncellemeler etkilenmez. Wordfence bu yüzden güncellemeyi ertelememeyi önerir; sunucu düzeyindeki ek önlem barındırma firmasıyla birlikte alınabilir.

Yaması olmayan bir WooCommerce eklentisini ne yapmalıyım?

Security For WooCommerce ve Bot for Telegram on WooCommerce eklentileri WordPress.org dizininde kapatıldı; WPScan ve NVD kayıtları bu eklentiler için düzeltilmiş bir sürüm göstermez. Bu eklentileri kullanan mağaza onları devre dışı bırakıp siler, yönetici hesaplarını gözden geçirir ve eklentinin yaptığı işi güncel tutulan başka bir çözümle karşılar.

LiteSpeed Cache açığı WooCommerce müşterilerimi nasıl etkiler?

NVD kaydına göre 7.9.1 ve önceki sürümlerde, varsayılan olarak açık gelen REST önbelleği WooCommerce'in sepet ve ödeme yanıtlarını herkese açık önbellekte saklar. Böylece bir müşterinin adı, adresi, e-postası, telefonu ve sepeti başka bir ziyaretçiye görünebilir. Eklentiyi güncel sürüme yükseltin ve sepet ile ödeme sayfalarını iki ayrı tarayıcıda deneyin.