- Katılım
- 27 Haz 2025
- Mesajlar
- 214
- Tepkime puanı
- 7
- Puanları
- 18
WordPress siten otomatik güncelleniyor diye içini rahat mı tutuyorsun? Bu hafta bir kez kendi gözünle kontrol etmeni öneririm. WordPress, 28 Ekim 2026’da
Ziyaretçiler için gizlenmiş link,görmek için
Giriş yap veya üye ol.
yayımladı ve sitelerin hemen güncellenmesini tavsiye etti.
Ziyaretçiler için gizlenmiş link,görmek için
Giriş yap veya üye ol.
göre bu sürüm 22 güvenlik açığını kapatıyor. En dikkat çekeni, çekirdek güncellemesi sırasında oluşan ve uzaktan kod çalıştırmaya (RCE) yol açabilen bir açık.
Güncelleme anındaki RCE açığı ne?
- WordPress’in duyurusunda bu açık “yükseltme sürecinde, yükseltme penceresi sırasında uzaktan kod çalıştırmaya yol açabilen bir zayıflık” olarak tanımlanıyor. Açığı Umut Bayram bildirmiş.
- WordPress’in
Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.(GHSA-4w3m-c66w-69mg, 29 Ekim 2026) göre sorun şu: Tam paketle yapılan çekirdek güncellemesinde dosyalar, web’den erişilebilen ve tahmin edilebilir bir geçici klasöre açılıyor. Bildirimde önem düzeyi “düşük” (low) olarak işaretli.
- Güvenlik firması
Ziyaretçiler için gizlenmiş link,görmek için Giriş yap veya üye ol.ise açığı CVE-2026-119977 numarasıyla ve CVSS 8.1 (Yüksek) puanla değerlendiriyor. Etkilenen sürümler 4.7.0 ile 7.1.3 arası. Wordfence’e göre saldırganın, WordPress güncelleme dosyalarını açarken oluşan çok kısa pencereyi yakalaması gerekiyor. Laboratuvarda bu pencere yalnızca birkaç saniye sürmüş.
Saldırı denemesi var mı?
Wordfence, kendi güvenlik duvarı verilerine dayanarak saldırganların bu açığı denemeye başladığını yazıyor:- Yeni güvenlik duvarı kuralı 28 Ekim 23:30’da (TSİ) devreye alınmış. Kurala ilk eşleşme 9 dakika sonra gelmiş.
- İlk 21 saatte, geçici klasördeki kurulum dosyasını (setup-config.php) hedefleyen 18.500’den fazla istek kaydedilmiş. Bazı kaynaklar aynı siteleri yaklaşık 14,5 saat boyunca tekrar tekrar yoklamış.
- Wordfence ücretli kullanıcıları kuralı hemen aldı. Ücretsiz sürüm kullanıcıları ise kuralı 27 Kasım 2026’da alacak. Wordfence de kuralın güncellemenin yerini tutmadığını vurguluyor.
Ziyaretçiler için gizlenmiş link,görmek için
Giriş yap veya üye ol.
de 31 Ekim itibarıyla bu açık yer almıyor.
Diğer düzeltmeler
- Katkıda bulunan (Contributor), yazar ve editör gibi giriş yapmış rollerin istismar edebileceği çok sayıda depolanmış XSS açığı. Çoğu Interactivity API ve bloklarla ilgili, ikisi Anthropic tarafından bildirilmiş.
- Giriş yapmamış ziyaretçilerin yayımlanmamış Özelleştirici (Customizer) değişikliklerini görebilmesi.
- Yorum yönetme yetkili özel rollerin, düzenleyemedikleri yazılardaki notları okuyup düzenleyebilmesi.
- eMudhra sertifika iptali nedeniyle paketteki kök sertifikaların güncellenmesi.
Hangi sürüme geçmen gerekiyor?
- 7.1 kullanıyorsan 7.1.4. Panelde Başlangıç > Güncellemeler > Şimdi güncelle yolunu izle. Otomatik arka plan güncellemesi açık sitelerde güncelleme kendiliğinden başlıyor.
- Eski dallar için de düzeltmeler çıktı. Sürüm belgesine göre örneğin 7.0.8, 6.9.11, 6.8.12, 6.7.11 ve 4.7 dalına kadar 4.7.39 yayımlandı. 7.0 ve 6.9 dallarını 22 açığın tamamı etkiliyor.
- 4.6 ve öncesi artık güvenlik güncellemesi almıyor. WordPress yalnızca en son sürümü aktif olarak destekliyor.
- Sıradaki ana sürüm 7.2, 8 Aralık için planlanıyor.
Türkiye notu
- Güvenlik sürümünde bölge kısıtı yok. Türkiye dahil dünyadaki tüm WordPress siteleri için geçerli.
- Türkçe arayüzde yol Başlangıç > Güncellemeler olarak görünür.
- Hosting firman otomatik güncellemeyi kapatmış olabilir. Bunu panelden ya da firmana sorarak teyit et.
Güncellemeden sonra 10 dakikalık kontrol listesi
Bu bölüm resmî kaynak değil, kendi önerilerim (Wordfence’in yazısındaki kontrol önerilerinden de yararlandım):- Sürümü kendin gör: Panelde Başlangıç > Güncellemeler sayfasında en son sürümü kullandığını belirten mesajı ve sürüm numarasını kontrol et.
- Yönetici hesaplarını say: Kullanıcılar sayfasında tanımadığın bir yönetici hesabı varsa hemen incele.
- wp-content/upgrade klasörüne bak: Hosting dosya yöneticisinde bu klasörde senin koymadığın PHP dosyaları olmamalı.
- Eklentileri de güncelle: Çekirdek güncel olsa da eski bir eklenti kapı açabilir. Ekim ayındaki eklenti uyarıları için WordPress Sitelerinde Ekim 2026 Alarmı konusuna bak.
- Yedeğini test et: Güncellemeden önce aldığın yedeğin gerçekten geri yüklenebildiğini bir kez dene. Önceki güvenlik sürümleri için WordPress 7.1.1 ve 7.1.2 Güvenlik Sürümleri konusunu da okuyabilirsin.
Kaynaklar:
Ziyaretçiler için gizlenmiş link,görmek için
Giriş yap veya üye ol.
·
Ziyaretçiler için gizlenmiş link,görmek için
Giriş yap veya üye ol.
·
Ziyaretçiler için gizlenmiş link,görmek için
Giriş yap veya üye ol.
·
Ziyaretçiler için gizlenmiş link,görmek için
Giriş yap veya üye ol.
·
Ziyaretçiler için gizlenmiş link,görmek için
Giriş yap veya üye ol.
(hepsi 31 Ekim 2026’da kontrol edildi)Senin WordPress siten şu an hangi sürümde, otomatik güncellemeler açık mı?
