çok da büyük bir açık değil bence sadece admin hashlı sifresi okunabiliyor diyorlar internette. Admin ekleme ya da php script ekleme imkansız.
Rapid7'nin son analizine göre olay sadece admin password hash'inin okunmasından ibaret görünmüyor. Açık, CVE-2026-63030 olarak unauthenticated RCE şeklinde raporlanmış ve REST API batch endpoint üzerinden kod çalıştırabildiği belirtiliyor.
Ancak henüz public PoC veya teknik exploit detayları yayınlanmadığı için internette dolaşan “sadece admin hash'i okunuyor” bilgisi açığın yalnızca bir aşamasını anlatıyor olabilir. Bu nedenle “admin eklemek veya PHP dosyası yüklemek imkansız” diye kesin konuşmak için teknik detayların yayınlanmasını beklemek gerekir. Şu an en doğru yaklaşım, açığı küçümsememek ama doğrulanmamış “tek istekle sunucu kesin ele geçirilir” iddialarını da kesin gerçek gibi sunmamaktır.
https://www.rapid7.com/blog/post/etr...ordpress-core/