Bir sabah sitenin anasayfasını açtım farklı bir sayfa çıktı karşıma. Spam linkleri, yabancı dilde yazılar ve garip bir JavaScript kodu. Sitem hacklenmişti. Sonra logları kontrol ettim ve gördüm ki saldırı 2 haftadır devam ediyormuş ben fark etmemiştim. WordPress siteleri her gün binlerce saldırıya uğruyor ve çoğu site sahibi bunu geç fark ediyor. İşte sitenizin saldırı altında olduğunun 5 işareti ve benim yaşadığım tecrübe.
Konu İçeriği
WordPress Siteniz Saldırı Altında mı? 5 İşaret
İşaret 1: Siteniz Yavaşlamaya Başladı
Benim sitem normalde 0.8 saniyede açılıyordu, bir anda 4 saniyeye çıktı. Neden? Saldırgan arka planda cryptominer script çalıştırıyordu her sayfa yüklenişinde ziyaretçinin bilgisayarında crypto madenciliği yapılıyordu. Sucuri’nin 2026 raporuna göre, WordPress site ihlallerinin %42’si performans düşüşü ile fark ediliyor ve ortalama tespit süresi 15 gün (Sucuri, “Website Threat Research Report”, 2026).
İşaret 2: Google Search Console’da Garip Uyarılar
Bir gün Search Console’da “Siteniz zararlı yazılım içeriyor” uyarısı gördüm. Google sitemi kırmızı bayrakla işaretlemiş arama sonuçlarında “Bu site bilgisayarınıza zarar verebilir” yazıyordu. SEO trafiğim bir günde %80 düştü. Bu, SEO’nuz için en büyük felaketlerden biri.
İşaret 3: Tanımadığınız Kullanıcılar ve Yazılar
WordPress admin paneline girdim ve 3 yeni admin kullanıcısı gördüm ben oluşturmamıştım. Ayrıca “draft” durumunda 15 spam yazı vardı, hepsi yabancı dilde ve phishing linkleri içeriyordu. Saldırgan admin hesabı açıp spam içerik ekliyordu.
İşaret 4: Anormal Trafik Artışı
Analytics’e baktım ve Rusya, Ukrayna ve Vietnam’dan anormal trafik geliyordu. Normalde bu ülkelerden neredeyse hiç ziyaretçi gelmiyor ama bir anda günde 5.000+ hit geliyordu. Bu, brute force saldırısının habercisiydi.
İşaret 5: Dosyalarda Değişiklik
SSH ile sunucuya girip tema dosyalarını kontrol ettim. functions.php dosyasının sonuna base64 ile encode edilmiş bir kod eklenmişti. Çözdüğümde bir PHP backdoor çıktı. Saldırgan bu backdoor ile istediği zaman siteye erişebiliyordu.
Nasıl Sızdılar? 3 Güvenlik Açığı
Saldırı sonrası soruşturmamda 3 zayıf nokta buldum:
1. Eski ve Güncellenmemiş Eklenti
Siteye 2 yıl önce kurduğum “Contact Form 7” eklentisinin eski bir versiyonu vardı. Bu versiyonda bilinen bir XSS açığı mevcuttu ve saldırgan bunu kullanmış. Eklentiyi güncellesem bu olmayacaktı.
2. Zayıf Admin Şifresi
Admin şifrem “admin” kullanıcı adıyla birlikte kolay tahmin edilebilir bir kombinasyondur. Saldırgan brute force ile deneyerek girmiş. Şimdi 24 karakterlik rastgele şifre kullanıyorum.
3. wp-login.php Korumasız
Login sayfasına herhangi bir koruma koymamıştım. Rate limit yok, CAPTCHA yok, 2FA yok. Saldırgan saatlerce deneme yapmış ve sonunda bulmuş.
Temizleme Süreci Adım Adım Ne Yaptım?
Adım 1: Siteyi Offline Alın
İlk iş siteyi maintenance moduna aldım. Zararlı kodun ziyaretçilere ulaşmasını engellemek için. Basit bir .maintenance dosyası yeterli.
Adım 2: Yedek Alın (Temiz veya Kirli)
Siteyi olduğu gibi yedekledim kirli olsa bile. Bazen saldırı öncesi dosyalara ihtiyaç duyulabilir.
Adım 3: Zararlı Kodları Temizleyin
# Zararlı dosyaları bulun
grep -r "eval(base64" /var/www/html/
grep -r "system(" /var/www/html/wp-content/
find /var/www/html/ -name "*.suspected" -o -name "*.bak"
Temizlik 4 saat sürdü. Base64 encode edilmiş scriptler, gizli PHP dosyaları ve değiştirilmiş core dosyalar buldum. Her birini temizledim.
Adım 4: Tüm Şifreleri Değiştirin
- WordPress admin şifresi
- Veritabanı şifresi
- FTP/SSH şifresi
- Hosting panel şifresi
- API anahtarları
Tüm şifreleri değiştirdim. Aynı şifreyi birden fazla yerde kullanıyorsanız, hepsini değiştirin.
Adım 5: Güvenlik Eklentisi Kurun
Wordfence kurdum ve tam tarama çalıştırdım. 17 tehdit buldu ve temizledim. Sonra firewall kurallarını optimize ettim.
Saldırı Sonrası: Kalıcı Güvenlik Önlemleri
Temizledikten sonra bir daha yaşanmaması için şu önlemleri aldım:
| Önlem | Aracı | Durum |
|---|---|---|
| 2FA (İki faktörlü doğrulama) | Wordfence Login Security | ✅ Aktif |
| Web Application Firewall | Cloudflare + Wordfence | ✅ Aktif |
| Otomatik güncelleme | WordPress core + eklentiler | ✅ Aktif |
| Login rate limit | Cloudflare WAF kuralı | ✅ Aktif |
| Dosya değişiklik izleme | Wordfence Scanner | ✅ Aktif |
| Günlük yedekleme | UpdraftPlus (buluta) | ✅ Aktif |
| Admin URL gizleme | WPS Hide Login | ✅ Aktif |
Sıkça Sorulan Sorular
WordPress saldırısını nasıl anlarım?
Site yavaşlaması, Search Console uyarıları, tanımadığınız admin kullanıcıları, anormal trafik ve dosya değişiklikleri en belirgin işaretler. Benim durumumda 5 işaretin hepsi vardı ama tek tek fark etmem 15 günümü aldı.
Saldırı altındaki siteyi kurtarmak ne kadar sürer?
Temizlik 4-8 saat, güvenlik önlemlerini kurmak 2-4 saat, Google’dan zararlı yazılım etiketini kaldırmak 1-3 gün. Toplam 2-4 gün. Ama önlem almak 2 saat hangisi tercih edersiniz?
Ücretsiz güvenlik eklentisi yeterli mi?
Wordfence ücretsiz sürümü çoğu site için yeterli. Ama firewall kuralları ve real-time için premium ($119/yıl) daha iyi. Ben ücretsiz kullanıyorum ve Cloudflare ile destekliyorum.
WordPress neden bu kadar çok saldırı alıyor?
Çünkü internetin %43’ünü oluşturuyor. Bu kadar yaygın olmak, otomatik saldırı araçlarının hedefi olmak demek. Ama doğru güvenlik önlemleriyle WordPress gayet güvenli olabilir.
Saldırıyı önlemek mümkün mü?
%100 önlemek zor ama %99’a kadar düşürmek mümkün. Güncellemeler, güçlü şifreler, 2FA, firewall ve düzenli yedekleme ile sitenizi neredeyse sarsılmaz yapabilirsiniz.
Sonuç
WordPress sitemin hacklenmesi benim için büyük bir dersti ama büyük bir ders oldu. 15 gün boyunca saldırı altında olduğumu bilmemiştim bu kadar farkında olmayabilirsiniz. Şimdi sitenin güvenliğini her hafta kontrol ediyorum ve tüm güncellemeleri anında yapıyorum.
Eğer WordPress kullanıyorsanız, bugün şu 3 şeyi yapın: Tüm eklentileri güncelleyin, admin şifrenizi güçlü yapın ve bir güvenlik eklentisi kurun. Bu 3 adım, sitenizi saldırıların %80’inden korur. Geri kalan %20 için Cloudflare ve 2FA ekleyin. Ben böyle yaptım ve bir daha sorun yaşamadım.
