Temmuz 2026’da WordPress ekosistemini derinden sarsan bir güvenlik açığı kamuoyuyla paylaşıldı: WP2Shell. Kimlik doğrulaması yapılmadan — yani kullanıcı adı ve şifreye ihtiyaç duymadan — sitenizin sunucusunda komut çalıştırılmasına olanak tanıyan bu açık, çok hızlı bir şekilde aktif saldırıya dönüştü.
Bu yazıda WP2Shell’in ne olduğunu, hangi WordPress sürümlerini etkilediğini, saldırganların ne yaptığını ve sitenizi nasıl koruyacağınızı açıklıyoruz.
WP2Shell Nedir?
WP2Shell, WordPress’in çekirdek dosyalarında bulunan ve iki ayrı CVE numarasıyla kayıtlı bir güvenlik açığı zinciridir:
- CVE-2026-63030 — Kimlik doğrulamasız uzaktan kod çalıştırma (Unauthenticated RCE)
- CVE-2026-60137 — SQL enjeksiyonu
İki açık birlikte kullanıldığında saldırgan, giriş yapmadan sitenizin sunucusunda istediği komutu çalıştırabilir. Sitenizi ziyaret eden birinin değil — sitenizi barındıran sunucuya doğrudan erişim sağlayan birinin yapabileceklerini düşünün.
Açıkları ilk keşfeden ve kamuoyuyla paylaşan Searchlight Cyber, bunu 17 Temmuz 2026’da duyurdu. Birkaç saat içinde saldırılar başladı.
Hangi WordPress Sürümleri Etkileniyor?
| Etkilenen Sürüm | Güvenli Sürüm |
|---|---|
| WordPress 6.8.0 – 6.8.5 | 6.8.6 |
| WordPress 6.9.0 – 6.9.4 | 6.9.5 |
| WordPress 7.0.0 – 7.0.1 | 7.0.2 |
| WordPress 7.1 beta | 7.1 beta2 |
Tam RCE zinciri (her iki CVE birlikte) 6.9.x ve 7.0.x sürümlerini etkiliyor. Yalnızca SQL enjeksiyonu (CVE-2026-60137) ise 6.8.x sürümlerinde de aktif.
Saldırı Nasıl Çalışıyor?
Teknik ayrıntıları basitleştirerek açıklayalım.
WordPress’in REST API’si, arka planda çeşitli işlemler yapan toplu istek uç noktaları (/wp-json/batch/v1) barındırır. WP2Shell saldırısı bu uç noktaları kötüye kullanarak:
- Kimlik doğrulaması olmadan sunucuya bağlanır.
- Kötü amaçlı bir “eklenti” yükler.
- Bu eklenti aracılığıyla sunucuda komut çalıştırmaya başlar (web shell).
- Yönetici hesap bilgilerini ve veritabanı erişim bilgilerini toplar.
- Sitenin içine kalıcı arka kapılar bırakır.
Wiz’in araştırmasına göre açığın kamuoyuna duyurulduğu an, WordPress kullanan kuruluşların %60’ında savunmasız en az bir site mevcuttu. İlk 24 saat içinde yoğun yama çalışmasıyla bu oran %50’ye geriledi.
Saldırıdan Sonra Neler Oluyor?
WP2Shell saldırılarında gözlemlenen davranışlar şunlar:
- Web shell bırakmak: Sunucuya uzaktan komut veren küçük PHP dosyaları yerleştiriliyor. Bunlar bazen 150 KB’a kadar büyüyüp tam bir saldırı platformuna dönüşüyor.
- Yönetici bilgilerini çalmak: WordPress admin kullanıcı adları ve e-posta adresleri toplanıyor.
- Veritabanı kimlik bilgilerine ulaşmak:
wp-config.phpdosyasındaki veritabanı adı, kullanıcı adı ve şifre ele geçiriliyor. - Kalıcı arka kapı kurmak: Siz siteyi güncelleseniz bile varlığını sürdürebilen gizli erişim noktaları oluşturuluyor.
Yani saldırı tek seferlik değil. Temizlemeden siteyi güncellemek tek başına yeterli olmayabilir.
Siteniz Etkilendi mi? Nasıl Anlarsınız?
Eğer siteniz Aralık 2025 ile Temmuz 2026 arasında güncel olmayan bir WordPress sürümüyle çalıştıysa, risk altında olmuş olabilirsiniz.
Dikkat etmeniz gereken işaretler:
- WordPress admin panelinde tanımadığınız kullanıcılar veya eklentiler
- Sunucu log dosyalarında
/wp-json/batch/v1uç noktasına gelen sıradışı POST istekleri - Yanıt kodu olarak HTTP 207 veya 200 dönen toplu istek kayıtları
- User-agent alanında
wp2shellveyarezwp2shellgeçen istekler wp-content/uploads/veyawp-content/plugins/klasörlerinde beklenmedik PHP dosyaları
Ne Yapmalısınız?
1. WordPress’i hemen güncelleyin
Sürümünüze göre hedef:
- 6.8.x kullanıyorsanız → 6.8.6’ya güncelleyin
- 6.9.x kullanıyorsanız → 6.9.5’e güncelleyin
- 7.0.x kullanıyorsanız → 7.0.2’ye güncelleyin
WordPress Dashboard → Güncellemeler ekranından bunu yapabilirsiniz.
2. Hemen güncelleyemiyorsanız geçici önlem alın
Bir güvenlik duvarı (WAF) üzerinden aşağıdaki uç noktayı engelleyin:
/wp-json/batch/v1
/?rest_route=/batch/v1Bunun için Cloudflare WAF, Wordfence Firewall veya Sucuri gibi araçlar kullanılabilir.
3. Sitenizi tarayın
Wordfence veya Sucuri güvenlik eklentileriyle tam site taraması yapın. Bilinmeyen PHP dosyalarını, özellikle uploads klasöründeki .php uzantılı dosyaları kontrol edin.
4. Tüm şifreleri değiştirin
- WordPress admin şifrelerini sıfırlayın.
wp-config.php‘deki veritabanı şifresini değiştirin (hosting panelinizden veritabanı kullanıcısının şifresini de güncellemeyi unutmayın).- FTP/SFTP erişim bilgilerinizi yenileyin.
5. Günlük yedekleme alın
Saldırı öncesine ait temiz bir yedeğe sahipseniz, gerektiğinde geri dönebilirsiniz. Yedek yoksa temizleme çok daha zorlaşır.
Profesyonel Yardım Ne Zaman Gerekir?
Güncelleme yapmak açığı kapatır — ama siteniz saldırıya uğramışsa bu yeterli değildir. Sisteme bırakılan arka kapılar, güncellemeden sonra da çalışmaya devam edebilir.
Şu durumlardan birini yaşıyorsanız teknik destek almanızı öneririz:
- Sitenizde tanımadığınız kullanıcılar veya eklentiler görüyorsanız
- Google “Bu site bilgisayara zarar verebilir” uyarısı veriyorsa
- Hosting firmanız hesabınızı askıya aldıysa
- Site yavaşladı, spam e-posta gönderiyor ya da içerikler değiştiyse
WTO Olarak Nasıl Yardımcı Olabiliriz?
İzmir Web Tasarım Ofisi olarak müşterilerimizin WordPress sitelerini düzenli olarak izliyor, güncelliyor ve güvenlik taraması yapıyoruz. WP2Shell gibi kritik açıklar kamuoyuna duyurulduğunda müşteri sitelerini öncelikli olarak güncelliyoruz.
Sitenizin durumunu bilmiyorsanız ya da temizlik ve güvenlik güçlendirmesi için profesyonel destek almak istiyorsanız bizimle iletişime geçin.
İzmir Web Tasarım Ofisi ile iletişime geçin →
Sık Sorulan Sorular
WP2Shell ile sitem hacklenmiş mi?
Siteniz savunmasız bir sürümde çalışıyorsa saldırıya maruz kalmış olabilir. Ancak saldırıya maruz kalmak, sitenin kesinlikle ele geçirildiği anlamına gelmiyor. Güvenlik taraması yaparak bunu netleştirebilirsiniz.
WordPress güncellemesi sitenizi bozar mı?
Küçük güvenlik güncellemeleri (6.8.6, 6.9.5 gibi) genellikle mevcut tasarımı ve içeriği etkilemez. Ancak güncelleme öncesinde yedek almak iyi bir alışkanlıktır.
Eklenti veya tema güncellemesi de şart mı?
WP2Shell doğrudan WordPress çekirdeğini etkiliyor, eklenti veya tema kaynaklı değil. Bununla birlikte eklenti ve temaların da güncel tutulması genel güvenlik açısından önemlidir.
REST API’yi tamamen kapatsam güvende olur muyum?
REST API’yi tamamen kapatmak bazı eklentilerin ve Gutenberg editörünün çalışmamasına yol açabilir. Geçici önlem olarak yalnızca batch uç noktasını engellemek daha sağlıklı bir yaklaşımdır.
WP2Shell ile saldırıya uğramış bir siteyi kendim temizleyebilir miyim?
Teknik bilginiz varsa mümkün. Ancak yerleştirilen web shell dosyaları çoğunlukla gizlenmiş ve birden fazla konuma yayılmış olur. Profesyonel temizlik hem daha hızlı hem de daha güvenilirdir.
Kaynaklar:
