Geçtiğimiz günlerde webmaster forumunda bir arkadaşımızın yorumunda, WordPress yerine PHP script kullanmanın daha stressiz bir yaşam sunduğu söylenmişti. Açıkçası bu yaklaşımı tamamen haksız bulmuyorum. Farklı scriptlerin elbette farklı avantajları olabilir.
Ancak bugün ortaya çıkan wp2shell açığı, WordPress güvenliği konusunda önemli bir noktayı tekrar gösteriyor: Her yazılımda güvenlik açığı çıkabilir.
Bu açık WordPress’in bir eklentisinde değil, çekirdeğinde bulunuyordu. Üstelik saldırı için özel bir eklenti kurulması gerekmiyor; varsayılan, sıfır eklentili bir WordPress kurulumu dahi etkilenebiliyordu. Anonim bir HTTP isteği üzerinden kod çalıştırılmasına yol açabilen bu güvenlik açığı için WordPress tarafı güncellemeleri yayımladı.
Etkilenen sürümler:
- WordPress 6.9.0 – 6.9.4
- WordPress 7.0.0 – 7.0.1
Düzeltilen sürümler:
- WordPress 6.9.5
- WordPress 7.0.2
WordPress 7.0.2 sürüm duyurusunda güvenlik ekibi, biri kritik olmak üzere iki güvenlik sorununun giderildiğini açıkladı. Güvenlik açıklarının CVE numaraları da yayımlandı: CVE-2026-60137 ve CVE-2026-63030.
Benim WordPress kullanmaya devam etmemin temel nedeni de aslında burada yatıyor. WordPress çok büyük bir ekosisteme sahip. Bir açık çıktığında güvenlik araştırmacıları, WordPress ekibi, hosting firmaları ve güvenlik şirketleri bu açık üzerinde çalışıyor ve güncelleme yayımlanıyor.
Bu, WordPress’te güvenlik açığı çıkmayacağı anlamına gelmiyor. Tam tersine, bu kadar yaygın kullanılan bir sistem olduğu için sürekli hedef alınması da normal. Ancak benim için önemli olan, açık çıktığında güncellemenin ne kadar hızlı yayımlandığı ve benim bunu ne kadar hızlı uyguladığım.
Ben kendi kullandığım sistemlerde güncelleme konusunda mümkün olduğunca beklemem. WordPress, PHP, sunucu bileşenleri, tema ve eklentiler güncel tutulmalı. Güvenlik güncellemesi çıktığında “birkaç hafta bekleyeyim, sorun çıkar mı acaba” yaklaşımı yerine, yedek alıp kontrollü şekilde güncellemek bana daha mantıklı geliyor.
Bir de önemli bir konu var: Kullanılan WordPress sürümü, tema ve eklenti bilgileri gereksiz yere dışarıya açık bırakılmamalı. Sürüm bilgisinin kaynak kodunda veya çeşitli endpoint’lerde açıkça görünmesi, saldırganların hedef belirleme ve otomatik tarama süreçlerini kolaylaştırabilir. Bu nedenle gereksiz sürüm bilgilerinin gizlenmesi ve kullanılmayan eklenti/temaların kaldırılması ek bir güvenlik katmanı sağlayabilir.
Ancak burada asıl güvenlik önlemi sürüm bilgisini gizlemek değil, sistemi güncel tutmaktır. Çünkü sürüm bilgisini gizlemek, güvenlik açığını ortadan kaldırmaz.
Özetle; WordPress kullanmak başlı başına güvensiz değildir. Güncel olmayan WordPress, güncellenmeyen eklentiler, eski PHP sürümü ve bakımsız sunucu asıl riski oluşturur.
Bana göre “WordPress’te açık çıktı, o zaman başka PHP scriptine geçeyim” demek yerine, kullanılan sistemin güvenlik güncellemelerini takip etmek ve çıkan güncellemeleri zamanında uygulamak daha mantıklı.
Sizce WordPress kullanmaya devam etmenin en büyük avantajı nedir? Böyle bir çekirdek açığı sonrasında WordPress’ten başka bir CMS’e geçmeyi düşünür müsünüz?