WordPress, dünyadaki sitelerin önemli bir kısmında çalıştığı için otomatik saldırı botlarının en sık taradığı platformlardan biri haline geldi. Bu kontrol listesi, sitenizi kötü amaçlı yazılımlara, yetkisiz erişime ve eklenti açıklarına karşı korumak için almanız gereken somut adımları önceliğe göre sıralıyor. Her bölümde hem sorunun neden önemli olduğunu hem de bugün uygulayabileceğiniz somut bir eylemi bulacaksınız; ayrıca güncel rakamları, riskleri kıyaslayan bir tabloyu ve kullandığımız kaynakları da ekledik.
WordPress siteleri neden hedef oluyor?
Saldırıların büyük çoğunluğu belirli bir siteyi değil, güncel olmayan eklenti ve temalardaki bilinen açıkları otomatik olarak tarayan bot ağlarını hedefliyor. Bu botlar genellikle WPScan gibi açık veritabanlarını referans alarak internetteki milyonlarca WordPress sitesini tarar, her sitenin readme.txt dosyasından veya sayfa kaynağından hangi eklenti sürümünün çalıştığını tespit eder ve bilinen bir açığı olan sürümleri otomatik olarak işaretler. Bu yüzden küçük bir blog da, yoğun trafikli bir e-ticaret sitesi de aynı taramanın kapsamına girer; saldırganlar sitenin büyüklüğüne değil, hangi yazılımın hangi sürümünü çalıştırdığına bakar.
Ele geçirilen bir site çoğu zaman nihai hedef değil, bir araçtır. Saldırganlar siteyi spam bağlantıları yaymak, arama sonuçlarını zehirlemek için gizli sayfalar eklemek, kripto para madenciliği yapmak ya da başka sitelere yönelik saldırılarda vekil sunucu olarak kullanmak amacıyla ele geçirir. "Sitemde değerli bir şey yok, kim uğraşsın" düşüncesi bu yüzden yanıltıcı: botlar bir siteyi değerine göre değil, açık verip vermediğine göre seçiyor.
Bir de zincirleme etki var: paylaşımlı hosting kullanan bir siteniz varsa ve aynı sunucudaki komşu bir site ele geçirilirse, saldırgan bazen o sunucudaki diğer hesaplara da sıçrayabiliyor. Bu yüzden kendi sitenizin güvenliği sadece sizin kontrolünüzde değil; hosting sağlayıcının izolasyon kalitesi de denklemin bir parçası. Yine de buradaki büyük değişken kendi elinizdeki adımlar: güncel yazılım, güçlü kimlik doğrulama ve düzenli yedekleme, sunucu seviyesindeki riskin büyük kısmını da dolaylı olarak azaltıyor.
Rakamlarla WordPress güvenliği
Aşağıdaki rakamlar, WordPress güvenliğinin neden bir tercih değil temel gereklilik olduğunu gösteriyor:
- W3Techs'in Eylül 2026 verilerine göre tüm web sitelerinin yaklaşık %41'i WordPress ile çalışıyor; bu da platformu otomatik tarama botları için en verimli hedef haline getiriyor.
- Patchstack'in 2025 güvenlik raporuna göre yıl içinde kayda geçen güvenlik açıklarının ezici çoğunluğu eklentilerde ve temalarda bulundu; WordPress çekirdeğinde raporlanan açık sayısı ise tek haneli rakamlarda kaldı.
- Wordfence'in yayınladığı verilere göre yalnızca 2025'in üçüncü çeyreğinde, koruması altındaki 5 milyondan fazla sitede 19,2 milyar brute force girişimi engellendi.
- Güvenlik araştırmacılarının son dönemde defalarca belgelediği gibi, kamuya açıklanan bir WordPress açığı için ilk istismar denemeleri çoğunlukla saatler içinde başlıyor; bu da güncellemeyi ertelemenin maliyetini eskisinden çok daha yüksek hale getiriyor.
Çekirdek, eklenti ve temalar nasıl güncel tutulur?
Bilinen güvenlik açıklarının büyük kısmı, geliştiricinin zaten yayınladığı ama sitede henüz uygulanmamış bir güncellemeyle kapanıyor. WordPress çekirdeği küçük güvenlik yamalarını kendiliğinden uygular, ama onlarca eklenti ve tema için bu sorumluluk size aittir. Elle tek tek kontrol etmek sürdürülebilir değildir; güncellemeleri otomatikleştirmek gerekir. Otomatik güncellemenin kendisi de bir risk taşır, çünkü uyumsuz bir sürüm siteyi anlık olarak bozabilir; hatta eklenti pazarında sahiplik el değiştirdikten sonra "güncelleme" adı altında reklam enjeksiyonu veya arka kapı kodu eklenen vakalar yıllar içinde defalarca yaşandı.
Güncellemeyi tereddütsüz hale getiren şey, öncesinde otomatik yedek almak ve sorun çıkarsa tek tıkla eski sürüme dönebilmektir. Patchstack'in bulgularına göre, kendilerine bildirilen açıkların yarısından fazlasında geliştiriciler resmi duyurudan önce yamayı yayınlayamadı. Bu, "açık duyurulduğunda hemen güncellerim" stratejisinin tek başına yeterli olmadığını, güncellemeyi bir web uygulama güvenlik duvarıyla birlikte düşünmek gerektiğini gösteriyor.
WordPress giriş güvenliği nasıl güçlendirilir?
Giriş sayfası, otomatik botların en sık denediği kapıdır. Saldırganlar genelde tek tek şifre denemez; daha önce büyük veri sızıntılarından toplanmış, milyarlarca kullanıcı adı ve şifre çifti içeren listelerle saniyede onlarca deneme yapan brute force ve credential stuffing saldırıları kullanır. Wordfence'in engellediği milyarlarca deneme, bu trafiğin ne kadar otomatik ve sürekli olduğunu gösteriyor. Aynı şifreyi birden fazla sitede kullanmak, bir başka platformda yaşanan sızıntıyı doğrudan WordPress sitenize taşıyan bir risk haline gelir.
Bunu engellemenin üç temel yolu var: belirli sayıda başarısız denemeden sonra IP'yi geçici olarak engellemek, varsayılan "admin" kullanıcı adını kullanmamak ve yönetici hesapları için iki faktörlü kimlik doğrulamayı (2FA) zorunlu kılmak. SMS tabanlı doğrulama SIM takas saldırılarına karşı görece zayıf kaldığından, kimlik doğrulayıcı uygulama (TOTP) veya passkey tabanlı yöntemler tercih edilmelidir. 2FA açıkken şifre ele geçirilse bile saldırgan ikinci bir doğrulama adımını geçemeden içeri giremez; tek başına en yüksek etkili önlemlerden biri budur.
Hangi güvenlik riski gerçekten ne kadar tehlikeli?
Bu risklerin hepsi önemli, ama hepsi aynı ağırlıkta değil. Aşağıdaki tablo, sık karşılaşılan beş risk türünü görülme sıklığı ve olası etkisi açısından karşılaştırıyor:
| Risk türü | Görülme sıklığı | Olası etki |
|---|---|---|
| Güncel olmayan eklenti veya tema | Çok yüksek | Yüksek (site tamamen ele geçirilebilir) |
| Zayıf veya tekrar kullanılan şifre | Yüksek | Yüksek (doğrudan yönetici erişimi) |
| İki faktörlü kimlik doğrulamanın kapalı olması | Orta (tek başına açık değil, diğer riskleri büyütür) | Yüksek |
| Gereğinden geniş dosya veya klasör izinleri | Orta | Yüksek (bir açığın yayılma hızını artırır) |
| Yamanmamış WordPress çekirdeği | Düşük | Kritik (etkilendiğinde ölçek çok büyük) |
Tablodan çıkan sonuç şu: en sık karşılaşılan risk ile en yıkıcı risk her zaman aynı şey değil. Yamanmamış bir çekirdek nadiren yaşanır ama etkilendiğinde ölçek çok büyük olur; buna karşılık güncel olmayan bir eklenti hemen her sitede karşınıza çıkar ve saldırganların ilk denediği yoldur. Öncelik sırasını belirlerken olasılık ile etkiyi birlikte değerlendirmek, hepsini aynı anda yapmaya çalışıp hiçbirini bitirememekten daha isabetlidir.
WordPress sitesi nasıl otomatik yedeklenir?
Güvenlik önlemleri ne kadar sıkı olursa olsun sıfır risk diye bir şey yoktur. Bu yüzden stratejinin son katmanı her zaman yedeklemedir: bir saldırı, hatalı güncelleme veya insan hatası durumunda siteyi hızlıca eski haline getirebilmek. Yaygın kabul gören 3-2-1 kuralı burada iyi bir referans noktasıdır: verinin en az üç kopyası, iki farklı ortamda, bir tanesi de sunucudan fiziksel olarak ayrı (offsite) tutulmalıdır. Sunucunun kendisi ele geçirilirse, üzerinde duran yedekler de aynı saldırıya maruz kalır.
İdeal olan, yedeklemenin manuel bir hatırlatmaya değil günlük çalışan otomatik bir programa bağlı olması, birkaç sürümün (örneğin son yedi ile otuz gün arası) saklanması ve gerçekten geri yüklenebilir olduğunun düzenli aralıklarla test edilmesidir. Birçok site sahibi yedek aldığını sanır ama geri yükleme adımını hiç denememiştir; bozuk bir yedek, yedek yokluğundan pek farklı bir güvenlik sağlamaz.
Güvenlik duvarı ve malware taraması ne işe yarar?
Bir web uygulama güvenlik duvarı (WAF), kötü niyetli istekleri WordPress'e ulaşmadan sunucu seviyesinde filtreler. Bilinen saldırı kalıplarını engelleyerek, resmi yaması henüz yayınlanmamış bir açığı bile büyük ölçüde işe yaramaz hale getirebilir; sektörde buna "sanal yama" (virtual patching) deniyor. Az önceki bölümde bahsettiğimiz gibi istismarlar duyurudan saatler sonra başlayabildiği için, gerçek yamayı bekleyen bir sitede bu katman kritik bir zaman kazandırır.
Düzenli malware taraması ise farklı bir görevi üstlenir: siteye zaten bulaşmış ve genelde fark edilmeden dosyalara enjekte edilen zararlı kodu erken aşamada yakalamak. İyi bir tarama hem imza tabanlı kontrol (bilinen zararlı kod parçalarını arama) hem de çekirdek dosyalarını wordpress.org'daki orijinal sürümle karşılaştıran bütünlük kontrolü (checksum) içermelidir; özellikle uploads klasörü, yazılabilir olduğu ve genelde doğrudan çalıştırılabilir dosya kısıtlaması taşımadığı için sık istismar edilen bir hedeftir. İki katman birlikte çalışır: WAF girişi engeller, tarama içeride bir şey kaçmışsa onu yakalar.
Kullanıcı yetkileri ve dosya izinleri neden denetlenmeli?
WordPress'te her kullanıcı rolü (Yönetici, Editör, Yazar, Katkıda Bulunan, Abone) farklı bir yetki seviyesi taşır ve zamanla birikmiş, artık kullanılmayan yönetici hesapları güvenlik açısından sessiz bir risk oluşturur; eski bir ajans çalışanının veya eski bir personelin unutulmuş hesabı da dahil olmak üzere her hesap potansiyel bir giriş noktasıdır. En az yetki ilkesini uygulamak, yani her kullanıcıya işini yapması için gereken minimum rolü vermek, kullanıcı listesini periyodik olarak gözden geçirmek ve ihtiyaç duyulmayan yönetici yetkilerini kaldırmak, saldırı yüzeyini doğrudan küçültür.
Aynı mantık dosya izinleri için de geçerlidir. Genel kabul gören ayar, dosyalar için 644, klasörler için 755, wp-config.php gibi kritik dosyalar için ise mümkünse daha kısıtlı bir izindir; bu dosyanın gereğinden fazla yazma izniyle açık bırakılması, küçük bir eklenti açığının tüm siteye yayılmasını kolaylaştırır. Ayrıca WordPress yönetici panelinden dosya düzenleyiciyi devre dışı bırakmak (DISALLOW_FILE_EDIT), bir saldırganın paneli ele geçirse bile doğrudan tema veya eklenti dosyalarını değiştirmesini engelleyen ek bir katmandır.
Bu denetimi bir kerelik bir işlem olarak değil, takvime bağlı bir alışkanlık olarak kurmak gerekir. Örneğin çeyrek başına bir kez kullanıcı listesini ve dosya izinlerini gözden geçirmek, ekip değişikliklerinin veya eski bir ajans erişiminin arkada bıraktığı unutulmuş hesapları ortaya çıkarır. Aktivite kayıtlarını (kim, ne zaman, ne değiştirdi) tutan bir sistem kullanmak da, bir şeyler ters gittiğinde nereden başlayacağınızı bulmayı büyük ölçüde kolaylaştırır.
Kontrol listesi özeti
- Çekirdek, eklenti ve temaları geri alma (rollback) imkanıyla düzenli güncelleyin
- Yönetici hesaplarında iki faktörlü kimlik doğrulamayı (2FA) zorunlu kılın
- Giriş deneme sayısını sınırlayın ve varsayılan "admin" kullanıcı adını değiştirin
- Yedeklerinizi otomatikleştirin, birden fazla sürüm saklayın ve sunucu dışında (offsite) tutun
- Bir web uygulama güvenlik duvarı (WAF) kullanın
- Düzenli aralıklarla malware taraması yapın
- Kullanılmayan yönetici hesaplarını kaldırın
- Kritik dosya izinlerini denetleyin
- Riskleri olasılık ve etkiye göre önceliklendirin (yukarıdaki tabloya bakın)
Kaynaklar
- W3Techs, "Usage Statistics and Market Share of WordPress": pazar payı verisi için.
- Patchstack, "State of WordPress Security in 2025" raporu: açık dağılımı ve yama süreleri verisi için.
- Wordfence, 2025 üçüncü çeyrek tehdit istatistikleri: brute force saldırı hacmi için.
- SecurityWeek ve The Hacker News'in 2026 açık istismarı haberleri: duyuru sonrası istismar hızı örnekleri için.
Bu adımların çoğu tek tek elle takip edildiğinde zaman alıyor ve site sayısı arttıkça unutulması kolaylaşıyor. Watch Your WP, güncelleme, yedekleme, günlük güvenlik taraması ve erişim denetimini tek panelde toplayarak bu kontrol listesinin önemli bir kısmını sizin yerinize takip eder.
Erdinç
Watch Your WP'yi geliştiriyor. WordPress bakım, güvenlik ve site yönetimi deneyiminden yazıyor.
LinkedIn