WordPress güvenlik firması Wordfence'in yaptığı analize göre, Everest Forms Pro eklentisinde keşfedilen kritik bir güvenlik açığı, kimliği doğrulanmamış saldırganların hedef sunucuda PHP kodu çalıştırmasına ve siteyi tamamen ele geçirmesine olanak tanıyor. CVE-2026-3300 koduyla takip edilen bu güvenlik açığı, CVSS puanlama sisteminde 9.8 gibi çok yüksek bir skora sahip. Açık, eklentinin 1.9.12 sürümü ve öncesindeki tüm sürümleri etkiliyor.
Güvenlik açığının temelinde, eklentinin 'Calculation' (Hesaplama) eklentisi yer alıyor. Bu eklenti, form hesaplama formülünü PHP'nin eval() fonksiyonu aracılığıyla çalıştırıyor. Form alanlarından gelen değerler, PHP dizesine eklenirken sanitize_text_field() fonksiyonu tek tırnak işaretlerini temizlemiyor. Bu sayede saldırgan, bir alan değerine tek tırnak ekleyerek PHP kod enjeksiyonu gerçekleştirebiliyor.
Saldırganlar, bu açığı kullanarak yönetici hesapları oluşturabiliyor, web shell yerleştirebiliyor ve siteye kalıcı erişim sağlayabiliyor. Wordfence telemetri verilerine göre, saldırılar 13 Nisan 2026'da başladı ve en yaygın kullanılan yük, 'diksimarina' adında bir yönetici hesabı oluşturmaya çalışıyordu. Şimdiye kadar 29.300'den fazla saldırı girişimi engellenirken, 16 Mayıs'ta tek bir günde 17.900'den fazla saldırı tespit edildi.
Sistem Güvenliği
WPEverest, güvenlik açığını 1.9.13 sürümüyle giderdi. Eski sürümleri kullanan siteler hâlâ risk altında olduğu için yöneticilerin acilen güncelleme yapmaları öneriliyor. Yalnızca 'Complex Calculation' (Karmaşık Hesaplama) özelliğini etkinleştiren formlar bu PHP kodu enjeksiyonuna karşı savunmasız. Metin, e-posta, URL, seçim kutusu veya radyo düğmesi gibi alanlar saldırı için giriş noktası olarak kullanılabiliyor.
