Dünyada bende dahil olmak üzere bir çok web yöneticisinin kullandığı sistem olan WordPress'de kritik bir güvenlik açığı tespit edildi. WordPress internet dünyasında ki web sitelerin %30 civarını oluşturmakta. Bu sayı azımsanacak derecede olmadığından, WordPress kötü niyetli kişilerin bir numaralı hedefi haline geliyor. Bir çok korsan grubunun düzenli olarak WordPress üzerinde açık taradığı bilinen bir gerçek.
WordPress'de Kritik Güvenlik Açığı
WordPress açığı RipsTech isimli bir PHP güvenlik ve analiz firması tarafından keşfedildi. Bundan tam 7 ay öncesinde keşfedilen açık WordPress'e bildirildi. Ancak WordPress2in bu açıkla ilgili herhangi bir adım attığını maalesef göremiyoruz. Açığın şuanda en güncel sürüm olan ve benimde kullandığım WordPress 4.9.6 sürümü dahil olmak üzere tüm sürümlerde geçerli olduğu biliniyor.
WordPress Güvenlik Açığı Nelere Sebep Olabiliyor?
Keşfedilen güvenlik açığı sayesinde kötü niyetli kişiler WordPress sunucusu üzerinden dosyalar silebiliyor. Bu durumda siteler üzerinde geri dönüşü olmayan zararlara sebebiyet verebiliyor. Açığın kullanılabilmesi için en azından medya dosyalarını düzenleme-silme yetkisine ve "Yazar" yetkisine sahip olunması gerekiyor. Ayrıca sunucu izinleri müsaitse index.php ve congig.php dosyalarının silinmesi de mümkün.
WordPress Açığı Nasıl Kapatılır?
WordPress'in bu açığı dünyada bir çok kişi tarafından WebMasterWorld platformunda yayınlandı. Ayrıca açığın detaylarını ve kapatılması için geçici bir hotfixi RipsTech'in bu yazısında bulabilirsiniz.
Önemli Not: Açığı bir çok yerli ve yabancı kaynaktan takip ettim. Açık özellikle birden fazla yazar ve yönetici hesabı bulunan siteleri ilgilendiriyor. HotFix olarak verilen kodun ise bir çok site üzerinde bazı sıkıntılara yol açtığı söylenmiş. Naçizane önerim HotFix uygulaması yerine en azından çekirdek geliştirici ekiplerinden bir güvenlik güncellemesi gelene kadar yazar ve yönetici izinlerini düzenlemeniz yönündedir.
Posted from my blog with SteemPress : http://blogiatr.com/2018/07/01/wordpress-sisteminde-kritik-acik/