WordPress, dünyadaki web sitelerinin %40’ından fazlasına güç veriyor. Bu kadar yaygın kullanılan bir platform, doğal olarak kötü niyetli aktörlerin de ilgisini çekiyor. “WordPress güvenlik” denince akla yalnızca bir eklenti kurup işi bitirmek gelmemeli. Güvenlik, sunucu ayarlarından kullanıcı alışkanlıklarına uzanan sürekli bir dikkat gerektirir.
Bu yazıda, WordPress sitelerinde en sık karşılaşılan güvenlik açıklarını, bunların nedenlerini ve uygulanabilir çözümlerini ele alacağız. Amacımız, sitenizi daha dirençli hale getirmeniz için net bir yol haritası sunmak.
WordPress’te Güvenlik Açıkları Nereden Kaynaklanır?
WordPress güvenlik sorunlarının çoğu, platformun kendisinden değil, çevresel faktörlerden doğar. Temel nedenleri anlamak, doğru önlemleri seçmenin ilk adımıdır.
Güncellenmemiş Çekirdek, Tema ve Eklentiler
WordPress ekosistemi sürekli güncellenir. Her güncelleme, yeni özelliklerin yanı sıra güvenlik yamaları da getirir. Eski sürümlerde kalmak, bilinen açıklara davetiye çıkarmak demektir. Özellikle popüler eklentilerde keşfedilen zafiyetler, otomatik tarama araçlarıyla saatler içinde istismar edilmeye başlanır.
Yalnızca aktif eklentiler değil, devre dışı bırakılmış ancak silinmemiş eklentiler de risk oluşturur. Bir eklentiyi kullanmıyorsanız, tamamen kaldırın. Aynı durum, kenarda duran eski temalar için de geçerlidir.
Zayıf Kimlik Doğrulama ve Yetkilendirme
Varsayılan “admin” kullanıcı adı, basit şifreler ve iki faktörlü kimlik doğrulamanın (2FA) kullanılmaması, brute force saldırılarını kolaylaştırır. wp-login.php sayfasına yönelik otomatik denemeler, zayıf kimlik bilgileriyle birleştiğinde yönetici paneline erişimle sonuçlanabilir.
Ayrıca, kullanıcı rollerinin doğru ayarlanmaması ciddi bir açıktır. İçerik editörüne gereksiz yere eklenti yönetme yetkisi vermek, tek bir hesabın ele geçirilmesiyle tüm sitenin tehlikeye girmesine yol açabilir.
Güvensiz Barındırma Ortamı
Paylaşımlı hostingde, aynı sunucudaki başka bir sitenin saldırıya uğraması sizin sitenizi de etkileyebilir. Sunucu tarafında PHP sürümünün eski olması, dosya izinlerinin yanlış ayarlanması veya SSL sertifikasının bulunmaması, WordPress’ten bağımsız ama doğrudan siteyi etkileyen zafiyetlerdir.
Kötü Kodlanmış veya Terk Edilmiş Eklentiler
WordPress eklenti deposunda binlerce eklenti bulunsa da, hepsi aynı kalitede değildir. Uzun süredir güncellenmeyen, geliştiricisi tarafından terk edilmiş bir eklenti, sitenizin en zayıf halkası olabilir. Bu tür eklentilerdeki güvenlik açıkları genellikle yamalanmaz ve saldırganların işini kolaylaştırır.
En Sık Görülen WordPress Güvenlik Açıkları
Saldırganların en çok hedef aldığı açık türlerini bilmek, savunmanızı bu noktalara yoğunlaştırmanızı sağlar. Aşağıda, gerçek dünyada sıkça karşılaşılan temel açıkları ve işleyiş biçimlerini bulacaksınız.
SQL Enjeksiyonu (SQLi)
Kullanıcı girdilerinin yeterince filtrelenmemesi sonucu, veritabanı sorgularına zararlı kod eklenmesidir. Başarılı bir SQL enjeksiyonu, saldırganın veritabanındaki tüm tabloları okumasına, değiştirmesine ve hatta silmesine olanak tanıyabilir. Kullanıcı tablosu döküldüğünde, şifre hash’leri çözülmeye çalışılır.
Genellikle özel yazılmış eklentilerde veya temalarda görülür. WordPress çekirdeği bu konuda oldukça güvenlidir ancak tema ve eklenti kodlarındaki hatalar ciddi sonuçlar doğurabilir.
Siteler Arası Betik Çalıştırma (XSS)
XSS, saldırganın siteye zararlı JavaScript kodu enjekte etmesiyle gerçekleşir. Bu kod, diğer kullanıcıların tarayıcısında çalışarak oturum çerezlerini çalabilir, kullanıcıyı başka bir siteye yönlendirebilir veya sayfa içeriğini değiştirebilir. Yorum alanları, iletişim formları ve arama kutuları tipik hedeflerdir.
Kalıcı (stored) XSS özellikle tehlikelidir çünkü zararlı kod veritabanına kaydedilir ve her sayfa yüklemesinde tekrar tetiklenir.
Yerel Dosya İçerme (LFI) ve Uzaktan Dosya İçerme (RFI)
LFI, saldırganın sunucuda bulunan hassas dosyaları (örneğin wp-config.php) okumasına; RFI ise uzaktaki zararlı bir dosyayı sunucuda çalıştırmasına olanak tanır. Genellikle temalardaki veya eklentilerdeki “include” fonksiyonlarındaki kontrolsüzlükten kaynaklanır.
Cross-Site Request Forgery (CSRF)
CSRF, kimliği doğrulanmış bir kullanıcının isteği dışında işlem yapmasına neden olan bir saldırı türüdür. Örneğin, yönetici oturumu açıkken tıkladığı özel hazırlanmış bir bağlantı, farkında olmadan yeni bir yönetici hesabı oluşturabilir. WordPress, nonce (number used once) mekanizmasıyla bu riski azaltsa da, bazı eklentiler bu korumayı doğru uygulamayabilir.
Dosya Yükleme Zafiyetleri
Dosya türü ve içerik kontrolü yapılmayan yükleme formları, saldırganın sunucuya zararlı PHP dosyaları göndermesine zemin hazırlar. Özellikle kullanıcı rollerine göre dosya yükleme yetkilerinin sınırlandırılmaması durumunda, düşük yetkili bir hesap üzerinden sunucu ele geçirilebilir.
WordPress Güvenliğini Artırmanın Pratik Yolları
Teorik açıkları sıralamak yetmez; bunları kapatmak için net adımlara ihtiyacınız var. Aşağıdaki önlemler, çoğu site için sağlam bir güvenlik temeli oluşturacaktır. Her site farklıdır, bu nedenle kendi önceliklerinize göre uyarlayın.
Güncellemeleri Otomatize Edin, Ama Kontrollü
WordPress 5.5 ile gelen otomatik güncelleme özelliği, çekirdek, tema ve eklentiler için etkinleştirilebilir. Ancak, özellikle büyük güncellemelerde uyumsuzluk riskini göz ardı etmemek gerekir. Küçük sürüm güncellemelerini otomatiğe bağlayıp, büyük sürümleri test ortamında denedikten sonra uygulamak iyi bir orta yoldur.
Eklenti seçiminde, düzenli güncelleme geçmişi olanları tercih edin. Son güncellemesi iki yıl önce yapılmış bir eklenti, güvenlik riski olarak değerlendirilmelidir.
Giriş Sayfasını ve Kimlik Doğrulamayı Güçlendirin
wp-login.php adresini değiştirmek, brute force saldırılarının büyük kısmını en baştan engeller. Bu işlemi, güvenilir bir güvenlik eklentisiyle veya .htaccess üzerinden yapabilirsiniz. Ancak URL’yi unutup kendinizi dışarıda bırakmamak için güvenilir bir yöntem kullandığınızdan emin olun.
İki faktörlü kimlik doğrulama (2FA), ele geçirilmiş bir şifrenin tek başına işe yaramasını neredeyse imkânsız hale getirir. Google Authenticator, Authy gibi uygulamalar ve çeşitli eklentilerle bu korumayı dakikalar içinde ekleyebilirsiniz.
Şifre politikalarını katılaştırın. “admin”, “siteadi” gibi kullanıcı adları yerine benzersiz bir yönetici hesap adı seçin. Kullanıcılarınız için güçlü şifre zorunluluğu getirin.
Dosya İzinlerini ve wp-config.php’yi Sertleştirin
Sunucunuzdaki dosya ve klasör izinleri, saldırganın hareket alanını belirler. Genellikle klasörler için 755, dosyalar için 644 izni önerilir. wp-config.php için 444 veya 440 izni, çoğu ortamda yeterli korumayı sağlar. Ayrıca, wp-config.php içindeki güvenlik anahtarlarını (AUTH_KEY, SECURE_AUTH_KEY vb.) oluşturup tanımlayın. Bu anahtarlar, çerezlerin şifrelenmesini güçlendirerek oturum çalma riskini azaltır.
wp-config.php dosyasını bir üst dizine taşımak, WordPress’in onu otomatik olarak bulmasını sağlarken, web üzerinden doğrudan erişimi engeller. Bu, özellikle paylaşımlı hostinglerde etkili bir önlemdir.
Veritabanı Ön Ekini Değiştirin
WordPress kurulumunda varsayılan tablo öneki “wp_” dir. Bu öneki kurulum sırasında değiştirmek, SQL enjeksiyon saldırılarında otomatik hedeflemeyi zorlaştırır. Mevcut bir sitede değişiklik yapmak daha zahmetlidir; elle veya eklentiyle yapılabilir, ancak tam yedek almadan bu işleme girişmeyin.
Güvenlik Eklentilerini Akıllıca Kullanın
Wordfence, iThemes Security, Sucuri gibi eklentiler; güvenlik duvarı, kötü amaçlı yazılım tarama, giriş denemesi sınırlama gibi birçok özelliği tek pakette sunar. Ancak, aynı anda birden fazla güvenlik eklentisi çalıştırmak çakışmalara yol açabilir. İhtiyacınızı karşılayan bir tane seçip doğru yapılandırmak, üç farklı eklentiyi yarım yamalak kullanmaktan iyidir.
Güvenlik duvarı (WAF) özelliği, bilinen saldırı kalıplarını IP tabanlı filtreleme ile engeller. Özellikle bir saldırı dalgası sırasında sunucu kaynaklarını korumak açısından değerlidir.
Düzenli Yedek Almayı İhmal Etmeyin
Yedekleme, bir güvenlik önlemi olmasa da güvenlik planının ayrılmaz bir parçasıdır. Saldırı sonrası en hızlı kurtarma yöntemi, temiz bir yedeği geri yüklemektir. Yedekleri yalnızca hosting panelinde değil, site dışı bir konumda (bulut depolama gibi) saklayın. Otomatik, günlük yedekleme ve en az bir haftalık yedek tutma rutini oluşturun.
SSL/TLS Sertifikası Kullanın
SSL sertifikası, kullanıcı ile sunucu arasındaki veri akışını şifreler. Giriş bilgileri, ödeme verileri gibi hassas bilgilerin açık metin olarak gitmesini engeller. Let’s Encrypt gibi ücretsiz sertifika sağlayıcıları sayesinde, SSL kullanmamak için artık hiçbir mazeret yok. Sertifikayı kurduktan sonra, site adreslerini HTTP’den HTTPS’e yönlendirmeyi ve karma içerik uyarılarını temizlemeyi unutmayın.
Saldırı Sonrası Yapılması Gerekenler
Ne kadar önlem alırsanız alın, sıfır risk mümkün değildir. Sitenizin saldırıya uğradığını fark ettiğiniz an, panikle değil, belirli bir planla hareket etmek hızlı toparlanmayı sağlar.
Öncelikle, siteyi geçici olarak bakım moduna alın. Bu, zararlı içeriğin ziyaretçilere sunulmasını ve saldırganın daha fazla işlem yapmasını sınırlar. Ardından, tüm yönetici şifrelerini ve veritabanı şifresini değiştirin.
Barındırma sağlayıcınızla iletişime geçin. Sunucu tarafındaki log kayıtları, saldırının giriş noktasını ve zamanını belirlemede kritik öneme sahiptir. Bir güvenlik eklentisiyle veya çevrimiçi tarama aracıyla tam site taraması yaparak zararlı kodu tespit etmeye çalışın. Bulduğunuz şüpheli dosyaları hemen silmek yerine, inceleme için karantinaya almak daha doğrudur; çünkü saldırganın bıraktığı arka kapıları görmenize yardımcı olabilir.
Sitenin temiz olduğuna ikna olduktan sonra, temiz bir yedeği geri yükleyin. Eğer güncel ve temiz bir yedek yoksa, WordPress çekirdek dosyalarını sıfırdan yüklemek, tema ve eklentileri resmi kaynaklardan yeniden kurmak en güvenilir yoldur. Son olarak, olaydan ders çıkarın: zafiyetin nereden kaynaklandığını belirleyip, o açığı kalıcı olarak kapatmak için gerekli adımları atın.
WordPress Güvenliğinde Sık Yapılan Hatalar
Bazı yaygın varsayımlar, sitenizi farkında olmadan savunmasız bırakır. Bunları bilmek, gereksiz risk almaktan kaçınmanıza yardımcı olur.
“Sitem küçük, kimse uğraşmaz” düşüncesi tehlikelidir. Otomatik botlar, site boyutu veya popülerliği ayırt etmez; açık buldukları her siteyi hedef alır. “Güvenlik eklentim var, başka şeye gerek yok” yaklaşımı da eksiktir. Eklenti, doğru yapılandırılmadığında veya düzenli bakım yapılmadığında gerçek bir koruma sağlamaz. Ayrıca, sadece güvenlik eklentisine güvenip yukarıdaki sertleştirme adımlarını atlamak, savunmayı tek bir noktaya bağlamak demektir.
Nulled (korsan) tema ve eklenti kullanmak, belki de en büyük risktir. Bu ürünlerin çoğu, içine gömülmüş zararlı kodlarla dağıtılır ve saldırgana doğrudan arka kapı sağlar. Ücretsiz bir tema veya eklenti arıyorsanız, yalnızca resmi WordPress deposunu veya güvenilir geliştiricilerin sitelerini kullanın.
Son olarak, yedek almamak ya da yedekleri sadece aynı sunucuda tutmak, geri dönüşü olmayan veri kayıplarına yol açabilir. Su baskını, yangın gibi fiziksel olaylardan, fidye yazılımlarına kadar birçok senaryoda, site dışı yedekler hayat kurtarır.
WordPress güvenliği bir kerelik bir kurulum değil, sürekli bir dikkat ve bakım işidir. Burada anlatılan adımları bugünden uygulamaya başlayarak, olası saldırılar karşısında çok daha dirençli bir konuma gelebilirsiniz. Önce yedeğinizi alın, sonra ilk adımı atın.
Devre dışı eklentileri silmek aklıma gelmemişti.
Paylaşımlı hostingdeki diğer siteler benim güvenliğimi nasıl etkiliyor, biraz daha açar mısınız?
Ben de yakın zamanda eski bir temayı silip rahatlamıştım, gerçekten riskliymiş.
İki faktörlü doğrulamayı aktif etmeden önce yedekleme yapmam gerekir mi diye düşünüyorum. Bir şey ters giderse panele erişememekten korkuyorum açıkçası.
Geçen ay wp-login.php sayfasına inanılmaz sayıda başarısız giriş denemesi oldu. Sunucu loglarını incelerken fark ettim. Sadece şifre karmaşıklığı yetmiyor, IP sınırlama eklentisiyle birlikte kullanınca brute force denemeleri neredeyse sıfırlandı. Özellikle XML-RPC üzerinden gelenleri de engellemek gerekiyor.
Sadece 2FA yetmez bence, güvenlik duvarı da şart.
Kullanıcı rolleri konusunda yazdıklarınız çok önemli. Çok yazarlı bir sitem var, editöre yanlışlıkla yönetici yetkisi vermiş olabilir miyim diye şimdi kontrol edeceğim. Rolleri düzenli denetleyen bir eklenti önerir misiniz?
Otomatik tarama araçlarından bahsetmişsiniz, gerçekten bu kadar hızlı yayılıyor mu?
WordPress güvenliği denince çoğu kişi sadece Wordfence kurup geçiyor, ama sunucu tarafında PHP sürümünün güncelliği ve dosya izinleri de en az onlar kadar önemli değil mi? Özellikle 777 izinli klasörler hala büyük hosting firmalarında bile standart olabiliyor. Sizce hangi dosya izinleri ideal?
Ben güncellemeleri otomatiğe aldım ama bazen tema bozuluyor, bu riski nasıl yönetiyorsunuz?
Her güncelleme sorun çıkarmaz umarım.
Makalede değinilen devre dışı tema meselesi bence çok kritik. Canlı siteyi klonlayıp localhostta deneme yaparken eski temaların açık kapı bırakabildiğini görmüştüm. Özellikle timthumb gibi eski scriptler hala ciddi zafiyet barındırıyor, bunları tamamen silmek şart.
Varsayılan admin kullanıcısını değiştirmek brute force’u tamamen engellemez ki, saldırganlar kullanıcı adını da tarıyor artık.
Paylaşımlı hosting kısmı yarım kalmış gibi. Acaba aynı sunucudaki başka bir site hacklendiğinde benim veritabanıma da sızılabilir mi? Hosting firmaları genelde izolasyonun tam olduğunu söylüyor ama pratikte durum farklı olabiliyor. Cloud hosting bu açıdan daha mı güvenli, deneyiminiz var mı?
Brute force koruması olmazsa olmaz artık.