Backuply Eklentisindeki SQL Enjeksiyonu Açığı 600.000 WordPress Sitesini Tehdit Ediyor

a black background with purple and orange shapes — Milad Fakurian / Unsplash

Softaculous tarafından geliştirilen Backuply eklentisinde, 600.000'den fazla sitede yüklü olan bir SQL enjeksiyonu açığı tespit edildi.

Wordfence tarafından 15 Ekim 2026 tarihinde yayınlanan güvenlik bültenine göre, CVE-2026-93953 referanslı bu açık 10 üzerinden 8,0 CVSS puanına sahip. Söz konusu güvenlik açığı, eklentinin 1.5.8 sürümü dahil tüm eski versiyonlarını etkiliyor. Sorun, 1 Ekim 2026 tarihinde yayınlanan Backuply 1.5.9 sürümü ile giderildi. Bu keşfi 17 Eylül'de bildiren araştırmacıya 1.352 dolar ödül verildi.

İkinci derece SQL enjeksiyonu olarak tanımlanan bu açık, kötü niyetli veri kaydedildiği anda değil, daha sonra başka bir fonksiyon tarafından kullanıldığında tetikleniyor. Bu durumda tetikleyici unsur, eklenti aracılığıyla gerçekleştirilen WordPress geri yükleme işlemi oluyor. Saldırganlar, en düşük yetki seviyesine sahip olan Abone rolündeki bir kullanıcıyla, profilindeki biyografi alanı üzerinden sisteme sızabiliyor.

Süreç şu şekilde işliyor: Backuply, yedekleme sırasında biyografi alanındaki veriyi SQL dosyasına aktarıyor. Ancak geri yükleme sırasında eklenti, eski sitenin tablo ön ekini bulmak için çok geniş kapsamlı bir düzenli ifade kullanıyor. Bu durum, biyografi içeriğinin doğrudan bir SQL sorgusuna eklenmesine yol açıyor. Böylece saldırgan, veri tabanı üzerinde tam yetkiyle kendi istediği sorguyu çalıştırabiliyor.

Saldırının başarılı olması için bir yöneticinin, tuzaklanmış biyografi kaydedildikten sonra oluşturulan bir veri tabanı yedeğini geri yüklemesi gerekiyor. Wordfence, bu durumun özellikle hesap oluşturmaya izin veren topluluklar veya üye alanları olan siteleri ya da düşük yetkili bir hesabı ele geçirilmiş siteleri hedeflediğini belirtiyor. Wordfence ayrıca, geri yükleme işlemi yapılmadığı sürece enjekte edilen SQL kodunun çalışmayacağını vurguluyor.