Saldırganlar, WordPress platformuna yönelik Elementor Pro eklentisindeki kritik bir güvenlik açığını istismar etmeye başladı. Bu açık, sunucuya kötü amaçlı bir PHP dosyası yüklenmesine ve ardından uzaktan komut çalıştırılmasına olanak tanıyor. CVE-2026-32475 numaralı açık, Elementor tarafından 19 Ağustos’ta yayımlanan 4.2.2 sürümünde düzeltildi.
Eklentinin 6 milyondan fazla aktif kurulumu bulunuyor ve sürükle-bırak arayüzü aracılığıyla WordPress sayfaları ve siteleri oluşturmak için kullanılıyor. Wordfence platformunun geliştiricisi Defiant’a göre, şirketin web uygulaması güvenlik duvarı, açığın düzeltilmesinden bu yana müşterilerini hedef alan yaklaşık 200 bin istismar girişimini engelledi.
İstismar nasıl çalışıyor?
Sorun, Elementor Pro formları üzerinden yüklenen dosya dizilerinin doğrulanmasındaki bir hatayla bağlantılı. Saldırgan, dizinin ilk öğesi olarak boş bir dosya gönderebilir ve ardından ikinci öğe olarak kötü amaçlı bir PHP dosyası ekleyebilir. Bu sıralama, sonraki dosyaların doğrulanmasını durdurarak kötü amaçlı yükün geçirilmesine izin veriyor.
Dosya yüklendikten sonra /wp-content/uploads/elementor/forms/ yolunda, saldırganın belirlediği .php uzantısı korunarak rastgele bir adla saklanıyor. Daha sonra dosyaya doğrudan erişilerek sunucuda komut çalıştırılabiliyor ve saldırgana uzaktan talimat yürütme yetkisi veriliyor.
Site ne zaman risk altında olur?
İstismar için sitede herhangi bir rastgele formun bulunması gerekmiyor; ancak yayımlanmış sitede en az bir File Upload alanı içeren bir Elementor Pro Form öğesinin bulunması gerekiyor. Kaynağa göre bunlar, eklentiye dayanan sitelerde yaygın ayarlar.
Wordfence, saldırı faaliyeti hakkında 2 Eylül’de uyarı yayımladı ve saldırıların Elementor’ın 4.2.2 sürümünü yayımladığı gün başladığını belirtti. Şirket, 19-23 Ağustos arasında artan faaliyet kaydetti; 190 binden fazla istismar girişimi engellendi. Ayrıca savunma ekiplerinin engelleme listelerine ekleyebilmesi için saldırganların binlerce saldırıda kullandığı IP adreslerinin bir listesini sağladı.
Site yöneticileri ne yapmalı?
Elementor Pro, derhal 4.2.2 veya daha yeni bir sürüme güncellenmeli. Uyarı ayrıca /wp-content/uploads/elementor/forms/ yolunun bilinmeyen PHP dosyaları açısından taranmasını öneriyor. Bu yol, formlar üzerinden yüklenen dosyaları depolamak için kullanıldığından, burada bir PHP dosyasının bulunması olası bir site ihlalinin güçlü bir göstergesidir ve temizleme ile inceleme işlemlerinin yapılmasını gerektirir.
Bu haber neden önemli?
Açığın önemi yalnızca kurulum sayısından kaynaklanmıyor; istismar, bir web formundaki dosya yükleme işlevini sunucuda komut çalıştırma noktasına dönüştürüyor. Ayrıca saldırıların yamanın yayımlandığı gün başlaması, henüz güncellenmemiş siteler için kısa bir zaman aralığı bırakıyor. Kaynak, tüm saldırıların ne ölçüde başarılı olduğunu kanıtlamıyor; ancak geniş çaplı aktif istismarın ve yüksek sayıdaki engellenen girişimlerin varlığını doğruluyor. Bu nedenle yüklenen dosyaların ve sunucu günlüklerinin kontrol edilmesi, güncellemenin yanı sıra gerekli bir adım olmaya devam ediyor.