WordPress çekirdeği

Çekirdek güncellemeleri nasıl gelir

WordPress 3.7’den bu yana küçük (bakım ve güvenlik) sürümler varsayılan olarak otomatik kurulur; örneğin 6.8.1’den 6.8.2’ye geçiş. Büyük sürüm geçişleri ise ayara bağlıdır. Barındırma firmanız ya da bir eklenti otomatik güncellemeyi kapatmışsa, güvenlik sürümleri de beklemede kalır. Pano › Güncellemeler sayfasında hangi sürümde olduğunuzu ve otomatik güncellemenin açık olup olmadığını görebilirsiniz.

Bu dönemde kayıtlarda geçen düzeltme sürümleri: 7.0.4, 7.0.2.

Çekirdek kayıtlarındaki türler: diğer ve sınıflandırılmamış (2), siteler arası betik (xss) (2), kısıtsız dosya yükleme (1), sql enjeksiyonu (1), eksik yetki kontrolü (1).

Kayıtlar

1. 8,1Yüksek

   WordPress

   31 Ekim 2026 Diğer WordPress çekirdeği Giriş gerekmiyor 7.1.3 ve öncesi

   Diğer ve sınıflandırılmamış türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 7.1.3 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

   CVE-2026-119977 (NVD) Wordfence kaydı
2. 4,9Orta

   WordPress

   22 Ekim 2026 XSS WordPress çekirdeği Katkıcı hesabı 7.0.2 ve öncesi

   Siteler arası betik (XSS) türünde bir açık. Kayda göre açığı kullanabilecek kişi: katkıcı (yazı taslağı yazabilen) ya da daha yetkili bir hesabı olan biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 7.0.2 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

   CVE-2026-114570 (NVD) Wordfence kaydı
3. 8,8Yüksek

   WordPress

   17 Ağustos 2026 Dosya yükleme WordPress çekirdeği Abone hesabı Düzeltme 7.0.4

   Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 7.0.4 öncesindeki sürümler etkileniyor, düzeltme 7.0.4 sürümünde.

   CVE-2026-65640 (NVD)
4. 8,9Yüksek

   WordPress

   7 Ağustos 2026 XSS WordPress çekirdeği Giriş gerekmiyor Sürüm yazmıyor

   Siteler arası betik (XSS) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. Kayıtta etkilenen sürüm aralığı belirtilmemiş.

   CVE-2026-64638 (NVD)
5. 9,8Kritik

   WordPress

   17 Temmuz 2026 Diğer WordPress çekirdeği Giriş gerekmiyor Saldırıda kullanılıyor Düzeltme 7.0.2

   Diğer ve sınıflandırılmamış türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 7.0.2 öncesindeki sürümler etkileniyor, düzeltme 7.0.2 sürümünde. CISA’nın değerlendirmesinde bu açığın gerçek saldırılarda kullanıldığı belirtiliyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-63030 (NVD)
6. 5,9Orta

   WordPress

   17 Temmuz 2026 SQL enjeksiyonu WordPress çekirdeği Giriş gerekmiyor Saldırıda kullanılıyor Düzeltme 7.0.2

   SQL enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 7.0.2 öncesindeki sürümler etkileniyor, düzeltme 7.0.2 sürümünde. CISA’nın değerlendirmesinde bu açığın gerçek saldırılarda kullanıldığı belirtiliyor.

   CVE-2026-60137 (NVD)
7. 4,3Orta

   WordPress

   11 Mart 2026 Yetki kontrolü WordPress çekirdeği Abone hesabı 6.9.1 ve öncesi

   Eksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 6.9.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

   CVE-2026-3906 (NVD) Wordfence kaydı