Cpanel Wp-Toolkit Modülü Güvenlik Açığı - CVE-2026-87900

Cpanel'in wordpress kurulum/yönetim modülü wp-toolkit'te önemli bir güvenlik açığı bildirilmiştir.

Bu güvenlik açığı ile cpanel hosting hesabı olan bir kullanıcı uygun exploitler ile sunucudaki diğer hesapların veritabanları üzerinde işlem gerçekleştirebilmektedir.

Güvenlik açığı wp-toolkit 6.11.3 sürümünde kapatılmıştır, 6.11.2 ve altındaki tüm sürümler güvenlik riski oluşturmaktadır.

SSH/Terminal üzerinden sürüm kontrol komutu; (komut herhangi bir sonuç vermez ise wp-toolkit modülü sunucuda kurulu değildir herhangi bir işlem yapmayın)

Sürüm güncelleme komutu;

* Cpanel güncellemesi yapıldığında da wp-toolkit otomatik olarak güncellenmektedir.

Özellikle paylaşımlı hosting hizmeti veren firma ve kişilerin güncellemeleri en kısa sürede yapması önerilir.

https://support.cpanel.net/hc/en-us/...tember-22-2026

***

Ek olarak CalDAV/CardDAV modüllerinde keşfedilen güvenlik açıklarını kapatmak için cpanel güncellemelerinizi en kısa sürede yapınız.

Güvenlik açıklarının kapatıldığı güncel cpanel sürümleri;

11.138.0.10 ve üstü
11.136.0.43 ve üstü
11.134.0.59 ve üstü
11.110.0.147 ve üstü

Bilgilendirme için teşekkürler abi

Bu cpanelin o kadar açığı varki her hafta aynı senaryo

cpanelden sıkıldım artık gerçekten ne kullanıcaz abi.

Yapay zeka teknolojilerinin gelişmesiyle açığı tespit edilmeyen yazılım kalmadı gibi bir şey.

Her yazılım için tespit edilen güvenlik açıklarını paylaşmaya kalksam buralar dolar taşar o yüzden daha çok hosting tarafını ilgilendiren, kritik, istismar potansiyeli yüksek açıkları paylaşıyorum.

Mesela linux işletim sistemlerini etkileyen son 10 günde tespit edilen güvenlik açıkları;

🔴 1 — Acil CVE-2026-80844 LPE → root
🔴 2 — Acil CVE-2026-81000 LPE → root
🔴 3 — Acil CVE-2026-68121 LPE → root
🔴 4 — Acil CVE-2026-74469 LPE → root / DoS
🔴 5 — Acil CVE-2026-53266 Memory corruption / LPE
🔴 6 — Acil CVE-2025-39682 Kernel memory corruption / disclosure / DoS
🟠 7 — Yüksek CVE-2025-39964 AF_ALG race / kernel corruption

Yani özetle güvenlik açıkları işin ana noktası işletim sistemlerinde bile başını alıp gitmiş durumda. Sürekli cve takip edip güncellemelerini yapanlar için sorun yok ama sistemlerini kaderine terk etmiş veya bir şey olmaz sonra bakarım diyenlerin Allah yardımcısı olsun.

Yapay zeka güvenlik açıklarını ortaya çıkarırken aynı zamanda bu açıkların nasıl istismar edileceği konusunda da çalışıyor. Hangi yazılımı kullanıyorsanız kullanın kapınız her an çalınabilir. Çok dikkatli olmak gerekiyor.

Merhaba, paylaşım için teşekkürler, sürüm aralığını ve güncelleme komutunu da eklemeniz faydalı olmuş.
Bence buradaki asıl kritik nokta CVE'nin kendisinden çok, açığın bir hesaptan diğer hesapların veritabanına sıçramaya izin vermesi. Yani mesele sadece wp-toolkit'i güncellemekle bitmiyor, paylaşımlı sunucuda hesaplar arasındaki izolasyonun ne kadar sıkı olduğu da devreye giriyor — izolasyon güçlüyse tek hesabın ele geçirilmesi diğerlerini etkilemez, zayıfsa böyle bir eklenti açığı tüm sunucuya yayılabilir. CloudLinux gerektirmeden native hesap izolasyonu sağlayan paneller (ispmanager dahil) burada bir miktar ek güvenlik payı sağlıyor, ama tabii tek başına yeterli değil.
Bunun yanında panelin kendisi güncel diye rahatlamamak lazım — wp-toolkit gibi ayrı güncellenen eklenti/modülleri de takip listesine almak gerekiyor, tam da bu örnekte olduğu gibi.