Teknoloji ve güvenlik · · 7 dk. okuma · Yazar: Alexander
WordPress 7.1.4: Güncelleme açığı web siteniz için ne anlama geliyor?
WordPress, 7.1.4 sürümünü 28 Ekim 2026 tarihinde yayımladı ve derhâl yüklenmesini öneriyor. Bu sürüm, çekirdek güncelleyicideki bir race condition sorununu, yani güncellemenin zamanlamasındaki bir hatayı gideriyor. Bu sırada geçici olarak açılan bir WordPress kopyasına web üzerinden erişilebiliyor olabilir. Uygun koşullar altında, WordPress hesabı olmadan üçüncü taraf kodunun yürütülmesi mümkün olabilirdi. Patchstack’e göre saldırı penceresi kısadır; incelenen kaynaklarda bu belirli açığın aktif olarak istismar edildiğine dair kanıt bulunmuyor.
WordPress 7.1.4’te ne oldu?
WordPress, çekirdek güncellemesi sırasında yeni sürümü `wp-content/upgrade/` altında açar. Düzeltmeden önce çalışma klasörünün adı paket adından türetilebiliyordu. Patchstack’e göre bir saldırgan, yola zamanında ulaşması ve yükleyicinin çalıştırılabilir olması hâlinde web üzerinden erişilebilen yükleyiciyi kendi veri tabanına bağlayabilir ve üçüncü taraf kodunu yürütebilirdi.
Saldırganın bunun için bir WordPress hesabına ihtiyacı yoktur. Ancak bu durum, çekirdek güncellemesini kendisinin başlatmasına imkân vermez. Açıklanan saldırı, devam eden bir güncelleme gerektirir. Patchstack birkaç saniyeden söz ediyor; sabit bir süre kanıtlanmış değildir.
Yama, çalışma klasörü adına 16 rastgele karakter ekler, bir `index.php` oluşturur veya mevcut dosyayı korur ve orada oluşan bir `wp-config.php` dosyasının kopyalanmasını engeller. Diğer düzeltmeler; enjekte edilen tarayıcı kodu (XSS), hizmet engelleme (DoS), bilgi sızıntıları ve izinlerle ilgilidir. Kaynaklar bu sorunları farklı sayılarda listeliyor.
Güncelleme açığı gerçekten ne kadar tehlikeli?
Patchstack, CVSS puanını 9 olarak gösterirken aynı zamanda “Low priority / No impactful threat”, yani düşük öncelik ve sağlayıcıya göre kayda değer bir tehdit olmadığını belirtiyor. WPScan ise 8,1 ve “high” değerlendirmesini veriyor. İlgili CVSS sürümü ve tüm değerlendirme parametreleri açıklanmamıştır. Araştırmada bir CVE veya GHSA kimliği doğrulanmamıştır.
Teknik değerlendirmeler ile Patchstack’in pratik önceliği ayrı ayrı ele alınmalıdır. Patchstack düşük önceliği kısa zaman aralığıyla gerekçelendiriyor: Saldırganın doğru yola tam kritik anda ulaşması gerekir. Bu durum saldırıyı zorlaştırır, ancak ihtimali ortadan kaldırmaz.
29 Ekim 2026 itibarıyla incelenen kaynaklarda ne başarılı bir istismara ne de doğrulanmış, kamuya açık ve çalıştırılabilir bir kavram kanıtına (Proof of Concept) dair kanıt vardır. Bu, hiçbir saldırı olmadığı anlamına gelmez. Şüpheli istekler, engellenen denemeler ve başarılı HTTP erişimleri tek başına bir ihlali kanıtlamaz. Güvenlik güncellemesini zamanında yükleyin.
Hangi WordPress sürümleri güvenli?
Burada “güvenli” yalnızca ilgili sürüm dalı için bu sürümde öngörülen düzeltmelerin mevcut olduğu anlamına gelir. Aşağıdaki güvenlik sürümleri 28 Ekim 2026 tarihinde yayımlanmıştır. Aynı daldaki eski yama sürümleri güncellenmelidir. Daha eski bir dal için güvenlik güncellemesi anlamına gelen uygun bir backport, bu düzeltmeler için yeterlidir.
- 7.1.4, 7.0.8, 6.9.11, 6.8.12
- 6.7.11, 6.6.11, 6.5.14, 6.4.14
- 6.3.14, 6.2.15, 6.1.16, 6.0.18
- 5.9.20, 5.8.19, 5.7.21, 5.6.23, 5.5.24
- 5.4.25, 5.3.27, 5.2.30, 5.1.28, 5.0.31
- 4.9.35, 4.8.34, 4.7.39
Yalnızca en yeni ana WordPress sürümü aktif olarak desteklenir. Backport sürümleri, eski kurulumların kalıcı olarak bakım göreceğini garanti etmez. WordPress 4.6 ve daha eski dallar bu sürümle bir backport almadı; geçmişte bu açıktan etkilenip etkilenmedikleri tam olarak incelenmemiştir. Bu tür eski sürümler için destek sağlayıcınızla birlikte desteklenen bir sürüme kontrollü geçiş planlayın.
Web sitemin etkilenip etkilenmediğini nasıl kontrol edebilirim?
Sürümü yönetim panelinde “Başlangıç → Ana Sayfa → Bir Bakışta” ya da “Araçlar → Site Sağlığı → Rapor/Bilgi → WordPress” altında kontrol edin. Sunulan çekirdek güncellemelerini “Başlangıç → Güncellemeler” altında bulabilirsiniz. Önce dosyaları ve veri tabanını yedekleyin. Otomatik güncellemelerden sonra da gerçekten yüklü olan sürümü kontrol edin; arka plan güncellemelerinin etkin olması, işlemin başarıyla tamamlandığını doğrulamaz.
Plesk’te mevcutsa “WordPress” altında WP Toolkit’i açın, kurulumu ve çekirdek güncellemesini seçin. Sunulan geri yükleme noktasını etkin bırakın. cPanel’de araç etkinleştirilmişse “Domains → WP Toolkit” altında bulunur. Shared Hosting ortamındaki kullanılabilirlik, hosting yapılandırmasına bağlıdır. Araç yoksa WordPress yönetim panelini kullanın veya Hoster’ınızı görevlendirin.
Yöneticiler için: Doğru kurulumun dizininde `wp core version` mevcut sürümü gösterir; yedeklemeden sonra `wp core update --minor` dal içinde güncelleme yapar. Açıkça bir hedef sürüm belirtmek, bilinçli bir dal seçimi gerektirir. Güncelleme hatalarında destek sağlayıcınızla iletişime geçin.
Hoster’ıma ne yazmalıyım?
Bu şablonu tek parça hâlinde kopyalayıp tamamlayabilirsiniz:
“Konu: Lütfen WordPress çekirdek güvenlik güncellemesini ve upgrade dizinini kontrol edin. Merhaba, lütfen [Domain] adresindeki WordPress kurulumumu 28 Ekim 2026 tarihli güvenlik sürümü bakımından kontrol edin. Hangi çekirdek sürümü yüklü? Son çekirdek güncellemesi saat dilimiyle birlikte ne zaman başlatıldı ve başarıyla tamamlandı? Otomatik mi yoksa manuel mi çalıştı? Daha eski bir dal kullanılmaya devam ediyorsa: Hangi backport sürümü yüklü ve upgrade race condition düzeltmesini içeriyor mu? `wp-content/upgrade/`, alt dizinleri dâhil olmak üzere web üzerinden erişilebilir mi veya listelenebiliyor mu? Buradaki doğrudan PHP çağrıları, öndeki bir koruma hizmetinin arkasındaki gerçek web sunucusu olan origin sunucuda da engelleniyor mu? Lütfen güncelleme zamanı civarındaki erişim ve hata loglarında açılmış kurulum dosyalarına yönelik istekleri ve sonrasındaki şüpheli etkinlikleri kontrol edin. Engellenen denemeler, başarılı HTTP erişimleri ve doğrulanmış değişiklikler arasında ayrım yapın. Başarısız güncellemelerden sonra geride kalan açılmış dizinleri ve bunların erişilebilirliğini de kontrol edin. Dosyaların ve veri tabanının hangi güncel yedeği mevcut, geri yükleme nasıl yapılır ve hangi veri durumunu sağlar? Güncelleme bekliyorsa: Ne zaman gerçekleştirebilirsiniz ve hangi geçici erişim engelini uygulayabilirsiniz? Ardından lütfen sürümü ve işlev kontrolünü doğrulayın. Teşekkürler ve saygılarımla, [Ad / müşteri numarası]”
Güncelleme hemen yapılamıyorsa ne yapmalıyım?
Yama temel önlem olmaya devam eder. Patchstack, geçici olarak `wp-content/upgrade/` yoluna web erişiminin sunucu tarafında engellenmesini ve dizin listelemesinin önlenmesini öneriyor. Boş bir dizin görünümü, doğrudan dosya erişiminin engellendiğini kanıtlamaz. Hoster, alt dizinleri, PHP çağrılarını ve doğrudan origin erişimini de kontrol etmelidir. Yalnızca geçici klasörde bulunan bir koruma dosyası güvenilir değildir; temizleme işlemi bu dosyayı kaldırabilir. Engel, bu silme alanının dışında yapılandırılmalıdır.
Cloudflare veya başka bir Web Application Firewall (WAF) içinde açıkça yapılandırılmış bir yol engeli yardımcı olabilir. Bu açığa karşı otomatik koruma kanıtlanmamıştır; doğrudan erişilebilen bir origin, öndeki korumayı atlayabilir. Patchstack’e göre açılmış kopya, asıl web sitesinde WordPress eklentisi olarak çalışan PHP güvenlik duvarını yüklemez. Bu durum sunucu tarafındaki güvenlik sistemlerine genel olarak uygulanamaz.
Sunucu engeline ilişkin bu ek noktalar, teknik çıkarımlardır; resmî olarak test edilmiş bir WordPress yapılandırma kılavuzu değildir. Ne güncelleme ne de etkili bir engel zamanında uygulanabiliyorsa son önlem olarak siteyi geçici süreyle çevrimdışı bırakmayı Hoster ile görüşün. Bu editoryal değerlendirme, web sitenizin erişilebilirliğinin kesintiye uğraması anlamına gelir.
Güncellemeden sonra neleri test etmeliyim?
Ana sayfayı, önemli alt sayfaları ve navigasyonu açın. Giriş, editör, medya ve formları test edin. Mağazalarda sepeti, checkout sürecini ve bildirimleri uygun bir test akışıyla kontrol edin. WordPress sürümünü tekrar kontrol edin ve görüntüleme hatalarında kullanılan önbelleği inceleyin.
Ayrıca dosyaların ve veri tabanının güncel bir yedeğinin bulunduğunu kontrol edin. Bu yedeğin nasıl geri yüklenebileceğini ve hangi veri durumunu sağlayacağını netleştirin.
Yöneticiler `wp core verify-checksums` komutunu çalıştırabilir. Çekirdek dosyalarının WordPress.org ile karşılaştırılması, web sitesinin tamamen temiz olduğunu kanıtlamaz: Veri tabanı, özel yapılandırma ve tüm uzantılar kesin olarak kontrol edilmez. Şüpheli bulgular daha kapsamlı bir inceleme gerektirir.
WordPress güncelleme açığı hakkında sık sorulan sorular
Eklentilerim güncel; bu yeterli mi?
Hayır. Düzeltme WordPress çekirdek güncelleyicisiyle ilgilidir. Güncel eklentiler ve temalar önemini korur, ancak bu çekirdek yamasının yerini tutmaz.
Cloudflare web sitemi korur mu?
Yalnızca bunu kullanmak, bu açığa karşı korumayı kanıtlamaz. Origin sunucuya doğrudan erişilemiyorsa etkili bir yol engeli yardımcı olabilir. Sunucu tarafında engelleme yine de faydalıdır.
Statik web sitesi dışa aktarımı kullanıyorsam açıktan etkilenir miyim?
Erişilebilir bir WordPress veya PHP kurulumu olmayan yalnızca HTML tabanlı bir sitede bu çekirdek güncelleme saldırı yolu bulunmaz. WordPress yönetim paneli kamuya açık kalıyorsa bu kurulum ayrıca kontrol edilmelidir.
7.1.4 sürümüne geçmek zorunda mıyım, yoksa backport yeterli mi?
Uygun backport, kendi dalı için bu sürümde öngörülen düzeltmeleri içerir. Uzun vadede kurulum, aktif olarak desteklenen ana sürüme geçirilmelidir.
Web sitem daha önce saldırıya uğradı mı?
Ne sürüm numarası ne de tek bir log kaydı bunu kanıtlar. Şüpheli dosyaları, beklenmeyen kullanıcıları, yapılandırma değişikliklerini ve logları birlikte kontrol ettirin. Güncelleme, önceki bir ihlali otomatik olarak ortadan kaldırmaz.
Güncellemeden sonra neleri test etmeliyim?
Formlar ve varsa mağaza işlevleri dâhil olmak üzere yukarıdaki kontrol listesini kullanın. Ardından yüklü sürümü kontrol edin ve yedekleme ile geri yükleme sürecini netleştirin.