WordPress kullanıcılarını yakından ilgilendiren yeni bir güvenlik tehdidi, Temmuz 2026’da gündeme geldi. wp2shell adı verilen saldırı zinciri, belirli WordPress sürümlerinde saldırganların herhangi bir kullanıcı hesabına ihtiyaç duymadan sisteme müdahale etmesine ve saldırıyı uzaktan kod çalıştırma (RCE) seviyesine kadar ilerletmesine imkan tanıyabiliyor.
Tehdidin önemli taraflarından biri, problemin herhangi bir üçüncü parti WordPress eklentisinden kaynaklanmaması. Açıklar doğrudan WordPress Core içerisinde bulunuyor.
Bu nedenle WordPress kullanan web sitesi sahiplerinin mevcut sürümlerini kontrol etmeleri ve güvenlik güncellemelerini geciktirmemeleri gerekiyor.
wp2shell Güvenlik Açığı Nedir?
wp2shell, tek başına bir güvenlik açığından ziyade iki farklı WordPress Core zafiyetinin bir saldırı zinciri içerisinde kullanılmasını ifade ediyor.
Zincirde yer alan açıklar:
- CVE-2026-63030: WordPress REST API içerisindeki batch endpoint’te bulunan route confusion açığı
- CVE-2026-60137:
WP_Queryiçerisindekiauthor__not_inparametresini etkileyen SQL Injection açığı
Saldırgan, bu açıkları belirli koşullarda birlikte kullanarak WordPress üzerinde yetki elde etmeye ve saldırıyı uzaktan kod çalıştırabilecek seviyeye taşımaya çalışabiliyor.
Özellikle saldırının başlangıç aşamasında geçerli bir WordPress kullanıcı hesabına ihtiyaç duyulmaması, açığı daha tehlikeli hale getiriyor.
wp2shell Saldırısı Nasıl İşliyor?
Teknik ayrıntıları bir kenara bırakırsak saldırı genel olarak birkaç aşamadan oluşuyor.
Öncelikle saldırgan WordPress’in REST API mekanizmasına özel hazırlanmış bir istek gönderiyor. Buradaki güvenlik açığından yararlanılarak SQL Injection zafiyetine ulaşılabiliyor.
Saldırganın amacı daha sonra WordPress üzerindeki yetkilerini artırmak ve yönetici seviyesinde işlem yapabilecek hale gelmek.
Yönetici erişimi elde edilmesi durumunda ise kötü amaçlı eklenti, dosya veya başka bir arka kapı mekanizması kullanılarak site üzerinde kalıcı erişim sağlanmaya çalışılabiliyor.
Bu nedenle wp2shell yalnızca veri sızdırma riski oluşturan bir açık olarak değerlendirilmemeli; site bütünlüğünü ve sunucu güvenliğini etkileyebilecek kritik bir tehdit olarak ele alınmalıdır.
Hangi WordPress Sürümleri Etkileniyor?
WordPress, açığı gidermek amacıyla güvenlik güncellemeleri yayınladı.
Kontrol edilmesi gereken sürümler şu şekilde:
Etkilenen sürümler
- 6.9.0 – 6.9.4
- 7.0.0 – 7.0.1
Bunun yanında 6.8.0 – 6.8.5 sürümleri de ilgili SQL Injection güvenlik açığından etkilenmektedir.
Düzeltilen sürümler
- 6.8.6
- 6.9.5
- 7.0.2
WordPress, açığın önem seviyesi nedeniyle etkilenen sürümlere yönelik otomatik güvenlik güncellemelerini de devreye aldı.
Ancak otomatik güncelleme mekanizmasına güvenerek sitenizin güncel olduğunu varsaymak yerine WordPress panelinden mevcut sürümü kontrol etmek daha güvenli bir yaklaşımdır.
Mümkün olduğu durumlarda yalnızca bu açığı kapatan sürüme geçmek yerine WordPress’in desteklenen en güncel sürümünü kullanmanız tavsiye edilir.
WordPress Sitenizi wp2shell’e Karşı Nasıl Korursunuz?
1. WordPress Versiyonunuzu Güncelleyin
İlk yapmanız gereken WordPress sürümünüzü kontrol etmek ve güncel değilse yükseltmektir.
WordPress yönetim panelindeki:
Başlangıç → Güncellemeler
alanından mevcut sürümünüzü ve kullanılabilir güncellemeleri görebilirsiniz.
Güncelleme öncesinde güncel bir yedek oluşturmanız da önemlidir.
2. Eklenti ve Temaları İhmal Etmeyin
wp2shell doğrudan WordPress Core ile ilgili olsa da güvenlik açısından yalnızca WordPress’in kendisini güncel tutmak yeterli değildir.
Kullandığınız tüm eklenti ve temaların güncel olduğundan emin olun.
Uzun süredir güncellenmeyen veya artık kullanmadığınız eklentileri kaldırmanız da sitenizin saldırı yüzeyini azaltacaktır.
3. Yönetici Kullanıcılarını Gözden Geçirin
WordPress panelinizde bulunan kullanıcıları düzenli olarak kontrol edin.
Özellikle yönetici yetkisine sahip kullanıcılar arasında size ait olmayan bir hesap fark ederseniz bunu ciddi bir güvenlik uyarısı olarak değerlendirin.
Böyle bir hesabı gördüğünüzde doğrudan silmek yerine öncelikle hosting sağlayıcınızdan sitenin güvenlik açısından incelenmesini istemeniz daha doğru olacaktır.
4. Sitenizdeki Olağandışı Değişikliklere Dikkat Edin
Bir saldırı sonrasında sitelerde çeşitli belirtiler ortaya çıkabilir.
Örneğin:
- Bilinmeyen PHP dosyaları,
- Haberiniz olmadan yüklenen eklentiler,
- Değiştirilmiş tema dosyaları,
- Farklı web sitelerine yönlendirmeler,
- Spam sayfalar,
- Beklenmeyen yönetici hesapları
şüphelenmeniz gereken durumlardan bazılarıdır.
Bu tür bir durumla karşılaşırsanız rastgele dosya silmek yerine önce sitenizin yedeğini almanız ve profesyonel destek istemeniz daha güvenli olacaktır.
5. Hesap Güvenliğinizi Güçlendirin
WordPress yönetici hesabınız için benzersiz ve güçlü bir parola belirleyin.
WordPress parolanızı cPanel, FTP veya e-posta gibi farklı servislerde tekrar kullanmayın.
Desteklenen hesaplarda iki faktörlü doğrulama (2FA) kullanmanız da yetkisiz girişlere karşı ek bir güvenlik katmanı sağlayacaktır.
WordPress’i Güncellemek Yeterli mi?
Her zaman değil.
Bu olayda özellikle dikkat edilmesi gereken konu, açık kapatılmadan önce sitenin saldırıya uğramış olma ihtimalidir.
Örneğin savunmasız bir WordPress sürümü kullanan bir site, güncelleme yapılmadan önce saldırgan tarafından ele geçirilmiş olabilir. Daha sonra WordPress güncellense bile saldırgan tarafından bırakılan zararlı dosya veya hesap sistemde kalabilir.
Bu nedenle güncelleme sonrasında sitenizi de kontrol etmeniz gerekir.
Aşağıdaki durumlardan herhangi birini fark ederseniz güvenlik incelemesi yaptırmanız önerilir:
- Tanımadığınız yönetici hesabı,
- Bilinmeyen eklenti,
- Şüpheli dosya,
- Beklenmeyen yönlendirme,
- Arama motorlarında spam içerikler,
- Sitenin normalden farklı davranması.
Saldırıdan şüphelenilen durumlarda temiz olduğu bilinen bir yedeğe dönülmesi ve hesap parolalarının değiştirilmesi gerekebilir.
Güvenli Bir WordPress Hosting Altyapısı Neden Önemli?
WordPress güvenliği yalnızca WordPress panelinde alınan önlemlerle sınırlı değildir. Sitenin barındırıldığı sunucunun güvenlik altyapısı da en az site üzerindeki güvenlik önlemleri kadar önem taşır.
Bu noktada 20 yılı aşkın sektör deneyimine sahip İnetmar, WordPress kullanıcılarına güvenlik ve performansı bir arada sunmayı hedefleyen hosting çözümleri sağlıyor.
Özellikle WordPress siteleri için sunduğu Imunify360 destekli WordPress Hosting altyapısı, sitelerinizi zararlı yazılımlara ve çeşitli web tabanlı tehditlere karşı korumaya yardımcı olan ek güvenlik katmanları sunuyor.
WordPress sitenizi yalnızca barındırmak değil, güvenlik konusunda da daha güçlü bir altyapı üzerinde çalıştırmak istiyorsanız İnetmar WordPress Hosting hizmetlerini inceleyebilirsiniz.
WordPress Güncellemelerini Ertelemeyin
wp2shell, WordPress Core içerisinde bulunan iki farklı güvenlik açığının zincirlenmesiyle ortaya çıkan ve belirli sürümlerde ciddi sonuçlara yol açabilen kritik bir güvenlik problemidir.
WordPress sitenizi korumak için yapabilecekleriniz aslında oldukça basit:
WordPress’i güncel tutun.
Eklenti ve temaları düzenli olarak güncelleyin.
Yönetici hesaplarınızı kontrol edin.
Şüpheli değişikliklere karşı sitenizi takip edin.
Güçlü parolalar ve mümkünse 2FA kullanın.
Ve tüm bunların yanında sitenizi güvenlik katmanları bulunan profesyonel bir hosting altyapısında barındırmayı tercih edin.
Unutmayın, bir güvenlik açığı ortaya çıktığında en önemli avantaj saldırganlardan önce önlem almaktır.
Güncel yazılım + güvenli hosting altyapısı + düzenli kontrol = daha güvenli WordPress sitesi.