Sabah bilgisayarınızı açtınız. Kahvenizi yudumlarken sitenize bir göz atmak istediniz. Ama ekranda siteniz yerine kırmızı bir uyarı, bir kumarhane reklamı ya da “Bu site hacklenmiştir” yazan bir sayfa var. Kalp atışlarınız hızlanıyor. WordPress sitem hacklendi cümlesi zihninizde yankılanıyor. İşte bu makale, tam olarak o an için yazıldı. Size adım adım ne yapmanız gerektiğini, paniğe kapılmadan nasıl temizlik yapacağınızı ve sitenizi nasıl beton gibi sağlam hale getireceğinizi anlatacağım.

Saviorhost olarak 7 yıldır yüzlerce hacklenmiş WordPress sitesini ayağa kaldırdık. Geçen ay bir müşterimizin e-ticaret sitesine yapılan Japon SEO spam (Japanese keyword hack) saldırısını 4 saatte temizlediğimizi hatırlıyorum. Bu yazıda, o tecrübeyle öğrendiğimiz her şeyi sizinle paylaşıyorum. Tek ihtiyacınız olan bir saatlik odaklanma ve bu rehber.

1. Sitenizin Hacklendiğini Nasıl Anlarsınız? (7 Kritik Belirti)

WordPress siteniz hacklendiğinde, her zaman ana sayfanızda kocaman bir korsan bayrağı görmezsiniz. Çoğu saldırı, fark edilmeden aylarca arka planda çalışacak şekilde tasarlanır. Saldırganlar sitenizin SEO gücünü çalmak, ziyaretçilerinize virüs bulaştırmak veya sunucunuzu bir bot ağına dahil etmek ister. Peki bunu nasıl fark edeceksiniz? İşte erken teşhis için oluşturduğumuz kontrol listesi:

1.1. Ani ve Açıklanamayan Trafik Düşüşü

Google Analytics raporlarınızda son 7 gün içinde organik trafiğiniz %50’den fazla düştüyse alarm zilleri çalıyor demektir. Genellikle Google, hacklenmiş siteleri arama sonuçlarından gizlice düşürmeye başlar veya kullanıcılara “Bu site zararlı olabilir” uyarısı gösterir. Eğer Google Safe Browsing sayfasında sitenizi sorguladığınızda kırmızı bir uyarı alıyorsanız, işte en net kanıt budur.

1.2. Google Search Console’da “Güvenlik Sorunları” Uyarısı

Bu, işin resmiyet kazanmış halidir. Search Console > Güvenlik ve Manuel İşlemler > Güvenlik sorunları bölümüne girin. Burada “SQL Enjeksiyonu”, “Zararlı Kod” veya “İçerik Enjeksiyonu” gibi başlıklar görüyorsanız, Google saldırıyı zaten tespit etmiş demektir. Bu uyarıyı görmezden gelmek, sitenizin indeksten tamamen kaldırılmasına yol açar.

Resim Açıklaması: Search Console’daki güvenlik uyarıları, saldırının türü hakkında ilk resmi ipucunu verir.

1.3. Beklenmedik Yönlendirmeler ve Pop-up’lar

Sitenizi ziyaret ettiğinizde (özellikle Google’dan gelen kullanıcılar) bir anda farklı bir siteye yönlendiriliyor musunuz? Buna “şartlı yönlendirme” denir. Saldırganlar .htaccess dosyasına veya wp-includes klasörüne ekledikleri kodlarla sadece ilk kez gelenleri hedef alır; site sahibi fark etmesin diye admin girişi yapan IP’leri bu yönlendirmeden muaf tutar. Sitenizi “gizli sekme” modunda veya farklı bir cihazda test etmeniz şart.

1.4. Yeni Admin Kullanıcıların Türemesi

WordPress yönetici panelinizde “Kullanıcılar” bölümüne girin. Tanımadığınız bir admin hesabı mı var? Özellikle “admin”, “support”, “wpadmin” gibi jenerik isimler… Eğer silmeye çalıştığınızda tekrar ortaya çıkıyorlarsa, saldırgan veritabanına bir arka kapı (backdoor) yerleştirmiştir.

1.5. Şüpheli Zamanlanmış Görevler (Cron Jobs)

Gelişmiş saldırılar, kendilerini gizlemek için WordPress’in kendi planlanmış görev sistemini (WP-Cron) kullanır. “WP Crontrol” gibi bir eklenti kurarak cron işlerinizi listeleyin. Kaynağı belli olmayan, rastgele isimlendirilmiş veya sık sık çalışan bir işlem görürseniz, işte fail orada olabilir.

1.6. Sunucu Kaynaklarında Anormal Artış

Hosting kontrol panelinizden CPU ve RAM kullanımınızı kontrol edin. Site normal trafiğini alırken işlemci kullanımı %100’e dayanıyorsa, siteniz bir kripto madenci (cryptojacking) saldırısına uğramış olabilir. Bu durumda hosting firmanız genellikle sizi uyarır veya hesabınızı askıya alır. Biz Saviorhost’ta bu tarz durumları anlık izliyoruz, ama her hosting firması aynı hassasiyeti göstermez.

1.7. Çekirdek Dosya Bütünlüğü Bozulması

Bu teknik teşhis yöntemi için cPanel > Dosya Yöneticisi > wp-includes ve wp-admin klasörlerine gidin. Tarihe göre sıralayın. Son değiştirilme tarihi, sizin güncelleme yaptığınız tarihten çok farklı olan PHP dosyaları görüyorsanız, bu dosyalar değiştirilmiş demektir. Örneğin, 2024’te değişmiş bir wp-settings.php dosyası kesinlikle şüphelidir.

2. Acil Durum Protokolü: Erişimi Kesin ve Yedeği Kontrol Edin

Paniği bir kenara bırakın. Yanlış müdahale, saldırgandan daha fazla zarar verir. Yanlışlıkla sitenin çalışmasını sağlayan kritik bir dosyayı silmek, veri kaybına yol açabilir. İşte izlemeniz gereken soğukkanlı adımlar:

2.1. Siteyi Bakım Moduna Alın (İzole Edin)

Amaç, ne sizin ne de ziyaretçilerinizin zarar görmesini engellemek. Eğer wp-admin paneline girebiliyorsanız, geçici bir süreliğine siteyi bakım moduna alın. Giremiyorsanız, FTP veya hosting dosya yöneticinizle ana dizinde boş bir .maintenance dosyası oluşturabilirsiniz. Bu, ziyaretçilere otomatik olarak “Kısa süreliğine bakımdayız” mesajı gösterecektir. Daha etkili bir yöntem olarak, sitenizin bağlı olduğu domainin DNS yönlendirmesini geçici olarak durdurabilirsiniz.

2.2. Yedeklerinizi Doğrulayın (Altın Kural)

Temizliğe başlamadan önce şu soruyu cevaplayın: Saldırı ne zaman başladı? Eğer saldırının başladığı tarihten öncesine ait temiz bir yedeğiniz varsa, işiniz çok kolay. Hosting panelinizdeki (KeyHelp, cPanel, Plesk) yedekleme bölümünden geri dönün. Ama dikkat! Eğer yedeğiniz de virüslüyse, sadece saldırganın eve geri dönmesi için kapıyı açmış olursunuz. Yedekten dönmeden önce mutlaka bir güvenlik taramasından geçirin. Eğer yedeğiniz yoksa… maalesef bu acı bir ders olacak. Hosting seçimi yaparken otomatik yedekleme hizmeti sunan firmaları tercih etmenizin önemi burada ortaya çıkıyor.

2.3. Tüm Şifreleri Değiştirin (Her Şeyi!)

Sadece WordPress admin şifresini değil; hosting paneli, FTP/SFTP, veritabanı (MySQL) kullanıcı şifresi ve e-posta şifrelerinizi de değiştirin. Karmaşık, en az 20 karakterli, özel karakterler içeren şifreler kullanın. Bir parola yöneticisi (Bitwarden gibi) kullanmıyorsanız, bu olay size bunun için harika bir sebep oldu.

3. Zararlı Yazılım Temizleme: Adım Adım Manuel ve Otomatik Yöntemler

WordPress sitem hacklendi, nasıl temizlerim? sorusunun özü burası. Otomatik eklentiler işin %80’ini çözse de, inatçı virüsler manuel müdahale ister. İkisini birleştiren hibrit bir yöntem izleyeceğiz.

3.1. WordPress Dosyalarını Sıfırdan Yükleyin (Çekirdek Sıfırlama)

Saldırganlar genelde wp-admin ve wp-includes klasörlerindeki çekirdek dosyalara bulaşır. En hızlı çözüm, WordPress’in son sürümünü indirip, wp-content hariç tüm dosya ve klasörleri FTP üzerinden sunucuya atarak eskileri ezmektir. Bu işlem wp-config.php dosyanızı silmez, temalarınıza ve yüklemelerinize dokunmaz. Ama dikkat: Eğer saldırgan wp-config.php dosyasına da bulaşmışsa, bu yöntem tek başına yeterli olmaz.

# SSH ile sunucuya bağlandıktan sonra WordPress ana dizininde:

wget https://wordpress.org/latest.zip
unzip latest.zip
rm -rf wp-admin wp-includes
cp -R wordpress/wp-admin ./
cp -R wordpress/wp-includes ./
DİKKAT: Bu komutlar sadece çekirdek dosyaları sıfırlar, temalara ve eklentilere dokunmaz.

3.2. Wordfence ve Sucuri ile Derin Tarama

Wordfence, veritabanı ve dosya sistemini bilinen kötü amaçlı yazılım imzalarıyla karşılaştıran en popüler güvenlik eklentisidir. Eğer panele erişemiyorsanız, Wordfence Assistant eklentisini manuel olarak FTP’ye atıp etkinleştirebilirsiniz. Alternatif olarak Sucuri SiteCheck gibi çevrimiçi tarayıcılar dışarıdan bir ön tarama yapabilir. Ancak uzaktan tarayıcılar, sunucu seviyesindeki gizlenmiş kodları göremez.

Karşılaştırma Kriteri	Wordfence (Ücretsiz)	Manuel SSH Temizliği
Tespit Hızı	Yüksek (İmza Tabanlı)	Düşük (Uzmanlık İster)
Arka Kapı Bulma	Orta	Çok Yüksek
Kaynak Tüketimi	CPU Kullanır	Yok Denecek Kadar Az

3.3. “functions.php” ve “.htaccess” Dosyalarını İnceleyin

Saldırganların en sevdiği iki dosya burasıdır. Özellikle aktif temanızın functions.php dosyasını baştan sona okuyun. base64decode, eval, strrot13, gzinflate, assert gibi şifreleme veya kod çalıştırma fonksiyonları arıyoruz. Aynı şekilde ana dizindeki .htaccess dosyasında, “RewriteRule” ile başka bir siteye yönlendirme yapan garip kodlar var mı kontrol edin.

Resim Açıklaması: functions.php içinde bulunan tipik bir zararlı kod parçacığı.

3.4. wp-content/uploads Klasörünü Dezenfekte Edin

WordPress, uploads klasöründe PHP dosyalarının çalıştırılmasına izin vermez. Ancak saldırganlar .htaccess güvenliğini devre dışı bırakmış olabilir. Uploads klasöründe .php uzantılı dosyalar arayın:

find /home/kullaniciadi/public_html/wp-content/uploads/ -name "*.php" -type f

Eğer bu komut sonuç döndürürse, orada “resim.jpg” gibi görünen ama aslında çalıştırılabilir bir PHP dosyasını tespit ettiniz demektir. Hepsini silin.

Manuel temizlik zor geliyorsa veya 500 internal server error gibi sorunlar ortaya çıkarsa, işi profesyonel bir teknik ekibe devretmek en mantıklısı olacaktır.

4. Veritabanı Enjeksiyonlarını ve Gizli Arka Kapıları Keşfetme

Dosyaları temizlediniz, ama site hâlâ kendiliğinden bozuluyor mu? Sorun veritabanında. SQL enjeksiyonu, genelde wpoptions ve wpposts tablolarına gizlenir.

4.1. wp_options Tablosunu Tarama

phpMyAdmin’e girin ve wp_options tablosunda şu SQL sorgusunu çalıştırın:

SELECT * FROM wpoptions WHERE optionvalue LIKE '%eval%' OR optionvalue LIKE '%base64%' OR optionvalue LIKE '%iframe%';

Bu sorgu, gizlenmiş kötü amaçlı kodları bulmanızı sağlar. Özellikle “activeplugins” gibi seçeneklerin içine gizlenmiş satırları kontrol edin. Bu tür veritabanı sorunları, sitenizde <a href="https://saviorhost.com/blog/500-internal-server-error-cozumu/" target="blank” rel=”noopener noreferrer”>500 internal server error çözümü ararken de karşınıza çıkabilir.

4.2. Gizli Admin Kullanıcılarını Silme

Veritabanı seviyesinde, wpusers ve wpusermeta tablolarını kontrol edin. Tanımadığınız kullanıcı ID’lerini silin. Ancak dikkatli olun, kendi kullanıcınızı silmeyin!

DELETE FROM wpusers WHERE ID = 'ŞÜPHELİID';

4.3. Saklanmış Cron Job’ları Temizleme

Veritabanı seviyesindeki zamanlanmış görevleri görmek için phpMyAdmin’de wpoptions tablosunda optionname = 'cron' değerini arayın. İçeride tanımadığınız bir fonksiyon ismi varsa, o satırı düzenleyip silin. Bu, saldırganın sürekli olarak kapıyı açık tutmasını engeller.

5. Google ve Tarayıcı Kara Listesinden Çıkma (Güvenlik İncelemesi)

Siteniz tamamen temizlendikten sonra sıra itibarınızı geri kazanmaya geldi. Google, sitenizi otomatik olarak temizlemez; sizin temiz olduğunuza ikna olması gerekir.

5.1. Search Console’da İnceleme Talep Edin

1. Google Search Console > Güvenlik ve Manuel İşlemler > Güvenlik sorunları bölümüne gidin.
2. “İnceleme iste” butonuna tıklayın.
3. Açıklama kutusuna, yaptığınız temizlik adımlarını detaylıca yazın. (Örneğin: “WordPress çekirdek dosyalarını sıfırladık, Wordfence ile taradık, veritabanındaki şüpheli kullanıcıları sildik.”) Ne kadar detay verirseniz, Google inceleme sürecini o kadar hızlı tamamlar. Genelde 24-48 saat sürer.

5.2. Siteyi Yeniden İndekse Gönderme

Temizlik sonrası URL yapınız bozulduysa veya Google sitenizi düşük sıralara attıysa, yeni bir XML site haritası oluşturup Search Console’a gönderin. Bu, botların siteyi yeniden taramasını hızlandırır. Aynı zamanda Core Web Vitals skorlarınızı da kontrol edin; saldırı sonrası performans sorunları sıralamanızı etkileyebilir.

5.3. Spam İçerikleri Kaldırma

Japon SEO saldırılarında, sitenizde sizin görmediğiniz binlerce spam sayfa oluşmuş olabilir. Google’da site:domainadi.com yazarak indeksinizi inceleyin. Eski ilaç (pharma hack) veya kumar içerikleri görüyorsanız, bunlar muhtemelen veritabanındaki hidden linklerden geliyordur.

Resim Açıklaması: Başarılı bir temizlik sonrası Search Console raporu.

6. Beton Gibi Sağlam: Gelecekteki Saldırılara Karşı 9 Katmanlı Koruma

Temizlik bitti, peki yarın tekrar aynı şeyi yaşamak ister misiniz? İşte bu bölümdeki maddeleri uygulamazsanız, büyük ihtimalle yaşayacaksınız. Çünkü botlar, bir kere hacklenmiş bir siteyi otomatik olarak tekrar tekrar tarar ve zayıf nokta arar.

6.1. Web Uygulama Güvenlik Duvarı (WAF) Kurun

Cloudflare veya Sucuri gibi bir DNS seviyesinde güvenlik duvarı kullanın. Bu araçlar, kötü botları ve bilinen saldırı imzalarını sunucunuza ulaşmadan engeller. Özellikle Cloudflare’ın “Under Attack” modu, anlık DDoS ve agresif tarama saldırıları için birebirdir.

6.2. Güncellemeleri Otomatize Edin

2026 yılında hâlâ güncel olmayan bir WordPress çekirdeği veya eklenti kullanmak, hırsıza kapıyı açık bırakıp “Girmezsin herhalde” demeye benzer. WordPress’te küçük çekirdek güncellemelerini otomatik yapın. wp-config.php dosyanıza şu satırı ekleyin:

define( 'WPAUTOUPDATE_CORE', true );

6.3. Güçlü Parola ve 2FA Politikası

Siteye erişimi olan her kullanıcı için “İki Faktörlü Kimlik Doğrulama”yı (2FA) zorunlu kılın. Wordfence veya Google Authenticator eklentileriyle bunu kolayca yapabilirsiniz. “admin” kullanıcı adını asla kullanmayın.

6.4. Dosya Bütünlüğü İzleme

Hosting seviyesinde bir dosya değişiklik izleme sistemi kurun. Saviorhost gibi yönetimli hosting hizmetleri, sunucu seviyesinde bu izlemeyi sizin için yapar; herhangi bir izinsiz dosya değişikliğinde anında uyarı alırsınız. Eğer sunucunuzu kendiniz yönetiyorsanız, bu işlem için NVMe SSD hosting gibi hızlı bir altyapıda çalışmak, tarama sürelerini kısaltır.

6.5. Gereksiz Eklentileri Kaldırın

Kullanmadığınız her eklenti potansiyel bir güvenlik açığıdır. 2026 Verilerine göre, WordPress saldırılarının %52’si eklenti kaynaklıdır (Kaynak: WPScan 2026 Raporu). Sadece ihtiyacınız olan, aktif olarak güncellenen ve geniş kullanıcı kitlesine sahip eklentileri kullanın.

6.6. XML-RPC ve WP-JSON Kısıtlaması

Brute force saldırıları genelde xmlrpc.php dosyasını hedefler. Eğer WordPress mobil uygulaması veya uzak bağlantı kullanmıyorsanız, bu dosyayı devre dışı bırakın:

// wp-config.php içine ekleyin

addfilter('xmlrpcenabled', '__return_false');

6.7. Düzenli Yedek Alın (Saldırı Öncesi)

Bu işi şansa bırakmayın. En az haftada bir, tercihen günde bir otomatik yedek alan ve bu yedekleri farklı bir lokasyonda (off-site) saklayan bir sistem kurun. E-ticaret yapıyorsanız, e-ticaret sunucu gereksinimleri arasında gerçek zamanlı yedekleme en kritik maddedir.

6.8. Veritabanı Önekini Değiştirme

Standart wp_ önekini değiştirmek, otomatize SQL enjeksiyon araçlarını şaşırtır. Kurulum aşamasında veya bir eklenti yardımıyla bu öneki değiştirin.

6.9. Dosya İzinlerini Sertleştirme

Klasörler için 755, dosyalar için 644 izni standarttır. wp-config.php için 400 veya 440 izni vererek bu hayati dosyayı oku-yaz saldırılarına karşı kapatın.

7. Sonuç ve Eylem Planı: Siteniz Şimdi Ne Durumda Olmalı?

Bu rehberi uyguladıysanız, siteniz şu anda büyük ihtimalle temiz. Ama unutmamanız gereken en önemli şey şu: WordPress sitem hacklendi vakası, sadece bir temizlik meselesi değil, bir zihniyet değişiminin başlangıcıdır. Bugüne kadar “Bana bir şey olmaz” diyordunuz; artık “Bir daha asla izin vermeyeceğim” diyorsunuz.

Şimdi yapmanız gerekenler basit:

1. Şifreleri değiştirip 2FA’yı aktif edin.
2. Cloudflare WAF kurulumunu hemen bugün tamamlayın.
3. Wordfence taramasını haftalık olarak zamanlayın.
4. Hosting sağlayıcınızın güvenlik katmanlarını sorgulayın. Eğer sunucu seviyesinde Imunify360 veya ClamAV gibi korumalar yoksa, güvenlik işini ciddiye alan bir altyapıya geçmenin vakti gelmiş demektir.

Saviorhost olarak, Nginx + ModSecurity + Imunify360 katmanlarıyla donatılmış sunucularımızda bu tarz güvenlik kabuslarını sıfıra indiriyoruz. Hosting paketlerimizi inceleyerek sitenizi güvence altına alabilirsiniz. Unutmayın, hacklenmiş bir siteyi temizlemek pahalıdır; ama korumak ucuzdur.

8. Sıkça Sorulan Sorular (FAQ)

WordPress sitemin hacklendiğini hemen nasıl anlarım?

En hızlı yöntem Google Safe Browsing sayfasında sitenizi sorgulamaktır. Ayrıca Google Search Console’daki güvenlik sorunları bildirimleri ve beklenmedik yönlendirmeler en net göstergelerdir. Sitenizi tarayıcının gizli modunda ziyaret ederek farklı bir kullanıcı gibi görünüp test edebilirsiniz.

Ücretsiz bir şekilde WordPress zararlı yazılım temizliği yapabilir miyim?

Evet, Wordfence ve Sucuri SiteCheck gibi ücretsiz araçlarla temel düzeyde temizlik yapabilirsiniz. Ancak bu araçlar sunucu seviyesindeki gizli arka kapıları her zaman bulamaz; manuel kod incelemesi şarttır.

WordPress saldırılarının en yaygın türleri nelerdir?

Brute force (kaba kuvvet) saldırıları, SQL enjeksiyonu, Cross-Site Scripting (XSS), Japon SEO spamı ve pharma hack en sık gördüğümüz saldırı türleridir. 2026’da özellikle eklenti kaynaklı sıfırıncı gün açıkları hızla artış göstermektedir.

Sitedeki zararlı yazılımı temizledim ama Google uyarısı hâlâ duruyor, ne yapmalıyım?

Google uyarıları otomatik kalkmaz. Search Console’dan “Güvenlik Sorunları” bölümüne gidip inceleme talebi göndermeniz zorunludur. Google botları sitenizi tekrar tarayıp temiz olduğuna kanaat getirdikten sonra uyarıyı kaldırır; bu süreç 48 saate kadar sürebilir.

Wp-admin paneline giriş yapamıyorsam işlemleri nasıl yapacağım?

FTP veya hosting panelinizin dosya yöneticisi ile doğrudan dosyalara müdahale edebilirsiniz. Veritabanına phpMyAdmin üzerinden bağlanarak şifre sıfırlaması yapmak veya şüpheli admin hesaplarını silmek mümkündür.

Hacklenme olayından sonra SEO sıralamam düzelir mi?

Evet, doğru temizlik ve indeks temizliği sonrası sıralamalar genellikle geri gelir. Ancak spam içerikler uzun süre indekste kaldıysa, eski gücünüze kavuşmanız birkaç hafta sürebilir. Temizlik sonrası yeni içerik üretmek ve site haritası göndermek iyileşmeyi hızlandırır.

Siteyi tamamen sıfırlamak zorunda mıyım?

Hayır, sıfırlama son çaredir. Medya dosyalarınızı ve veritabanı içeriğinizi koruyarak sadece çekirdek WordPress dosyalarını, temaları ve eklentileri sıfırlayarak temizlik yapabilirsiniz. wp-content klasörünüzü yedekleyip temiz bir kurulum yapmak, sıfırlamadan çok daha pratiktir.

Bu saldırı sunucumdaki diğer sitelere de bulaşır mı?

Eğer paylaşımlı hosting kullanıyorsanız ve sunucuda “cross-account contamination” (hesaplar arası bulaşma) koruması yoksa, evet bulaşabilir. Bu yüzden CloudLinux gibi hesap izolasyonu sağlayan işletim sistemleri ve güvenlik yamaları uygulayan hosting firmalarıyla çalışmak kritik öneme sahiptir.