WordPress’in iki zafiyeti üzerinden ilerleyen ve wp2shell adı verilen saldırı zinciri, kamuya açık istismar kodunun yayılmasıyla birlikte kısa sürede geniş ölçekli taramalara dönüştü. CVE-2026-63030 ve CVE-2026-60137 olarak izlenen açıklar, yamalı sürümlere geçmemiş WordPress kurulumlarını hedef alıyor; saldırganlar önce kimlik doğrulaması gerektirmeyen SQL enjeksiyonu ile iç bileşenlere erişiyor, ardından uzaktan kod çalıştırmaya kadar ilerliyor. Zincirin, Aralık 2025’ten bu yana yayımlanan WordPress sürümlerinde varsayılan kurulumları etkileyebildiği bildirildi.
Güvenlik araştırmacıları, saldırının ilk saatlerinde saldırganların özellikle hashlenmiş kimlik bilgilerini sızdırmaya odaklandığını, ardından teknik detayların daha da açığa çıkmasıyla RCE aşamasına geçildiğini aktardı. watchTowr’ın baş güvenlik araştırmacısı Jake Knott, cumartesi sabahının erken saatlerine gelindiğinde başarılı istismarın zaten sürdüğünü, başlangıçta kamuya açık exploit kodunun hashlenmiş kimlik bilgilerini çıkarmak için kullanıldığını, ek ayrıntılar paylaşılınca uzaktan kod çalıştırmanın geldiğini söyledi. Knott, şirketin küresel müşteri tabanında bu zafiyetin her büyüklükte ve her sektörde kurumu etkilediğini de belirtti.
KEVIntel tarafından toplanan telemetri verileri, CVE-2026-63030’un istismar girişimleriyle ilişkilendirilen 13 farklı IP adresi bulunduğunu gösteriyor. Bu adreslerin İsviçre, Almanya, Birleşik Krallık, Endonezya, Litvanya, Hollanda ve Singapur’dan geldiği bildirildi. KEVIntel kurucusu ve CEO’su Ryan Dewhurst, etkinliğin yalnızca WordPress’e özgü sensörleri hedeflemekle sınırlı kalmadığını, kısa süre içinde genel internet taramasına döndüğünü ve isteklerin kamuya açık PoC istismarlarıyla eşleştiğini belirtti.
Dewhurst, saldırganların birden fazla SQL enjeksiyon tekniği kullandığını, bunların arasında blind, UNION tabanlı ve Boolean tabanlı yüklerin bulunduğunu söyledi. Aynı açıklamada, yapay zekâ destekli analiz sayesinde zafiyetin yeniden üretilmesinin ve çalışan bir PoC geliştirilmesinin oldukça kolaylaştığı, bunun da yeterli teknik ayrıntı kamuya açıldığında istismar kodu üretme eşiğini ciddi biçimde düşürdüğü vurgulandı.
Searchlight Cyber’ın, OpenAI GPT 5.6 Sol kullanarak 10 saatten uzun süren inceleme sonunda ortaya çıkardığı zincir, kimliği doğrulanmamış saldırganlara standart WordPress kurulumlarında uzaktan kod çalıştırma imkânı veriyor. Şirket, ciddi risk nedeniyle teknik ayrıntıları paylaşmadı. Aynı ekip, saldırının hiçbir ön koşul taşımadığını ve pluginsiz, stok bir WordPress kurulumunda anonim bir kullanıcı tarafından istismar edilebildiğini bildirdi.
Cloudflare’in değerlendirmesi ise CVE-2026-63030’un kimliği doğrulanmamış uzaktan kod çalıştırmayı yalnızca kalıcı nesne önbelleği kullanılmadığında mümkün kıldığı yönünde. SQL enjeksiyon açığı CVE-2026-60137 ise 6.8 sürümünden itibaren varlığını sürdürüyor; RCE etkisi 6.9 sürümünden itibaren görülüyor. Bu ayrım, istismar zincirinin her WordPress kurulumunda aynı sonucu vermediğini gösteriyor.
Intruder’da güvenlik mühendisi Ben Marr, saldırının tek bir HTTP isteğiyle standart bir WordPress kurulumunda kimliği doğrulanmamış SQL enjeksiyon elde etmeyi amaçlayan iki parçalı bir zincir kullandığını açıkladı. Marr’a göre CVE-2026-60137 giriş noktası olarak çalışıyor ve REST API batch endpoint içindeki bir route confusion hatası sayesinde kimlik doğrulamasını atlatıyor; saldırgan böylece iç işleyicileri herhangi bir izin kontrolü olmadan çağırabiliyor.
Marr ayrıca ikinci zafiyetin, eklenti ya da tema tarafından güvenilmeyen veri geçirilirken WP_Query içindeki author__not_in parametresinin yeterince temizlenmemesinden kaynaklandığını söyledi. Bu durum, hazırlanmış girdinin veritabanı sorgusunu değiştirmesine, dolayısıyla verilere yetkisiz erişim ya da verilerin manipüle edilmesine yol açabiliyor. CVE-2026-63030 için NVD kaydı: https://nvd.nist.gov/vuln/detail/CVE-2026-63030. CVE-2026-60137 için NVD kaydı: https://nvd.nist.gov/vuln/detail/CVE-2026-60137.
Google’a bağlı Wiz’in verileri, bu CVE’ler duyurulduğunda WordPress kullanan kurumların yüzde 60’ında en az bir savunmasız örnek bulunduğunu, yüzde 25’inde ise savunmasız bir sunucunun doğrudan internete açık olduğunu gösteriyor. Şirket, kurumlar düzeltmeleri uygulamaya devam ettikçe bu oranların düştüğünü de kaydetti.
Bulut güvenliği şirketi, iki zafiyetin kötüye kullanılmasının ardından bir dizi faaliyet gözlemledi: kötü amaçlı eklenti yüklenmesi, kullanıcıların sayılması ve yönetici kullanıcı adları ile e-posta adreslerinin toplanması, veritabanı kimlik bilgileri ve doğrulama anahtarlarını sızdırmak için local file inclusion saldırıları, yönetim paneline erişim sağlanması ve ardından tam işlevli bir PHP web shell yüklenmesi. Araştırmacılar ayrıca, bazı faaliyetlerin sonraki aşamaya geçmediğini, bunun da hem gerçek saldırı hem de hedef arayan toplu tarama kampanyalarının aynı anda sürdüğünü gösterdiğini ifade etti.
Wiz araştırmacıları Shahar Dorfman ve Gili Tikochinski, yüksek hacimli tarama trafiği gördüklerini ancak bunu takip eden bir post-exploitation aşamasını her vakada doğrulayamadıklarını belirtti. Çift, şu ana kadar yan hareket ya da veri sızdırma izine rastlamadıklarını, buna karşın izleme ve incelemenin sürdüğünü söyledi.
Aktivite içinde öne çıkan bir diğer unsur, meşru bir WordPress güvenlik eklentisini taklit eden 150 KB boyutunda bir web shell oldu. CMSmap adı verilen bu bileşen, dosya yönetimi, veritabanı erişimi, port tarama, toplu kod enjeksiyonu ve MySQL UDF istismarı da dahil çok sayıda ayrıcalık yükseltme modülünü destekleyen tam özellikli bir saldırı platformu gibi çalışıyor. Araç adı güvenlik dünyasında meşru testlerde de karşımıza çıkabilse de bu vakada kötü amaçlı amaçla kullanıldığı görülüyor.
watchTowr da kamuya açık istismar kodunun yayımlanmasının ardından saldırganların interneti ayrım gözetmeden taramaya başladığını, honeypot sistemlerinin on binlerce istismar girişimi kaydettiğini açıkladı. Şirket, bunun yanında bazı altyapılarda arka kapı niteliğinde yönetici hesapları oluşturulduğunu, bu hesaplar üzerinden sahte WordPress eklentileri yüklenerek kod çalıştırıldığını ya da ikinci aşama araçların indirildiğini bildirdi. watchTowr’ın verileri, saldırı girişimlerinin çok farklı coğrafyalardan geldiğini ve dağıtılmış bir istismar trafiğine dönüştüğünü gösterdi.
En az bir olayda, tehdit aktörünün Golang tabanlı uzaktan erişim truva atı Overlord RAT kurmaya defalarca çalıştığı da gözlendi. Savunma ekiplerine, yamalanmış olsa bile WordPress kurulumlarını yeni yönetici hesapları, kötü amaçlı eklentiler ve şüpheli dosyalar açısından kontrol etmeleri çağrısı yapıldı. Kaynakta yer alan bulgular, saldırı sonrası izlerin yalnızca açıkların kapatılmasıyla ortadan kalkmayabileceğine işaret ediyor.
Güvenlik araştırmacıları, savunma tarafında bazı önlemlerin saldırının etkisini sınırladığını da not etti. WordPress’in güvenlik sürümleri için yıllardır otomatik arka plan güncellemesini desteklemesi ve bazı altyapı sağlayıcılarının önceden bilgilendirilerek sanal yamaları hızlıca devreye alması, maruziyet penceresini daralttı. Ancak otomatik güncellemesi kapalı, destek dışı kalan ya da güncellemesi başarısız olan sitelerin açık kalabildiği, kamuya açık istismar kodu çıktıktan sonra yamanın tek başına yeterli sayılmaması gerektiği ifade edildi. Dewhurst, WordPress’in güvenlik sürümleri için otomatik arka plan güncellemelerini birkaç yıldır desteklediğini ve bazı altyapı sağlayıcılarının erken uyarı sayesinde sanal yama uygulayabildiğini de aktardı.
Dewhurst ayrıca, otomatik güncellemeleri etkinleşen ya da ilgili WAF kurallarıyla korunan sitelerde maruz kalma süresinin kısaldığını söyledi. Buna karşılık otomatik güncellemesi kapalı olan, desteklenmeyen ya da güncellemesi başarısız kalan sistemlerin savunmasız kalabildiğini belirtti. Kamuya açık exploit kodu yayıldıktan sonra savunmasız kalan site operatörlerine, yama uygulamanın tek başına yeterli olmadığını kabul ederek sistemlerinde ele geçirilme göstergelerini incelemeleri gerektiği vurgulandı.