Giriş
Breeze Cache eklentisinde tespit edilen kritik bir güvenlik açığı, yetkilendirme olmaksızın sunucuya rastgele dosyaların yüklenmesine olanak tanımaktadır. Bu durum, web sitelerinin tamamen ele geçirilmesine yol açabilecek bir risk teşkil etmektedir.
Saldırı Nasıl Çalışıyor?
Güvenlik açığı, CVE-2026-3844 kodu ile takip edilmektedir ve 9.8/10 şiddet puanına sahiptir. Hung Nguyen (bashu) tarafından keşfedilen bu açık, ‘fetch_gravatar_from_remote’ fonksiyonundaki dosya türü doğrulama eksikliğinden kaynaklanmaktadır.
Bir saldırganın, eğer “Host Files Locally – Gravatars” eklentisi aktifse sunucuya rasgele dosyalar yükleyerek, uzaktan kod çalıştırma (RCE) gerçekleştirmesi mümkündür. Ancak, bu eklenti varsayılan olarak kapalı durumdadır.
Etkilenen Sistemler
CVE-2026-3844, Breeze Cache eklentisinin 2.4.4 ve altındaki tüm sürümlerini etkilemektedir. Cloudways, bu açığı 2.4.5 sürümünde gidermiştir. Eklentinin son sürümden bu yana yaklaşık 138,000 kez indirildiği belirtilmektedir. Ancak, Host Files Locally – Gravatars özelliği etkin olan web sitelerinin sayısı bilinmemektedir.
Çözüm ve Korunma
Web sitesi sahipleri veya yöneticileri, performansı artırmak için Breeze Cache eklentisine güveniyorlarsa, aşağıdaki adımları takip etmelidir:
- Güncelleme: Eklentinin en son sürümü olan 2.4.5 sürümüne güncelleyin.
- Geçici Önlem: Güncelleme mümkün değilse, “Host Files Locally – Gravatars” özelliğini devre dışı bırakın.
Bu önlemler, web sitenizin güvenliğini artırmak ve olası saldırılardan korunmak için kritik öneme sahiptir.
Sonuç
Breeze Cache eklentisindeki bu kritik açığın istismar edilme olasılığının yüksek olması nedeniyle, gerekli güncellemeleri derhal yapmalı veya geçici olarak ilgili özelliği devre dışı bırakmalısınız. Web sitenizin güvenliği için bu adımlar hayati önem taşımaktadır.
