WordPress Sitem Hacklendi: Adım Adım Temizlik ve Koruma Rehberi

Sabah bilgisayarınızı açtınız. Kahvenizi yudumlarken sitenize bir göz atmak istediğinizde ekranda siteniz yerine kırmızı bir uyarı, kumar reklamı ya da “Bu site hacklenmiştir” yazısı beliriyor. WordPress sitem hacklendi düşüncesi zihninizde yankılanırken kalp atışlarınız hızlanıyor. Bu rehber, tam da o an için yazıldı. Paniğe kapılmadan atmanız gereken adımları, temizlik sürecini ve sitenizi yeniden sağlamlaştırmayı anlatıyor.

Saviorhost olarak uzun yıllardır birçok hacklenmiş WordPress sitesini kurtardık. Özellikle Japon SEO spam (Japanese keyword hack) saldırıları, e-ticaret sitelerinde ciddi hasar bırakır. Bu yazıda, sahadan edindiğimiz pratik bilgileri adım adım paylaşıyoruz. Tek ihtiyacınız bir saatlik odaklanma ve bu rehber.

WordPress Sitem Hacklendi mi? Nasıl Anlarım? (7 Kritik Belirti)

WordPress sitem hacklendi mi diye şüpheleniyorsanız, ilk dakikalarda bunu doğrulamanız gerekir. Saldırıların çoğu ana sayfada kocaman bir korsan bayrağı göstermez. Bunun yerine aylarca sessizce çalışır, SEO gücünüzü çalar veya ziyaretçilerinize zararlı yazılım bulaştırır. İşte erken teşhis için kullanabileceğiniz kontrol listesi:

Belirtilerin her biri tek başına kesin kanıt olmayabilir. Ancak birden fazlası aynı anda görülüyorsa, sitenizin güvenliği ihlal edilmiş demektir.

Ani ve Açıklanamayan Trafik Düşüşü

Google Analytics raporlarınızda son 7 gün içinde organik trafiğiniz yarıdan fazla düştüyse alarm zilleri çalıyor demektir. Google, hacklenmiş siteleri arama sonuçlarından sessizce düşürür veya kullanıcılara “Bu site zararlı olabilir” uyarısı gösterir.

Google Safe Browsing sayfasında sitenizin adresini sorgulayın. Kırmızı bir uyarı alıyorsanız, bu en net kanıttır.

Google Search Console’da “Güvenlik Sorunları” Uyarısı

Bu, işin resmiyet kazanmış halidir. Search Console > Güvenlik ve Manuel İşlemler > Güvenlik sorunları bölümüne girin. Burada “SQL Enjeksiyonu”, “Zararlı Kod” veya “İçerik Enjeksiyonu” gibi başlıklar görüyorsanız, Google saldırıyı zaten tespit etmiştir. Bu uyarıyı görmezden gelmek, sitenizin indeksten tamamen çıkarılmasına yol açabilir.

Beklenmedik Yönlendirmeler ve Pop-up’lar

Sitenizi ziyaret ettiğinizde (özellikle Google’dan gelen kullanıcılar) bir anda farklı bir siteye yönlendiriliyor musunuz? Buna “şartlı yönlendirme” denir. Saldırganlar yalnızca ilk kez gelen ziyaretçileri hedef alır.

Site sahibi fark etmesin diye admin girişi yapan IP’leri bu yönlendirmeden muaf tutarlar. Bu yüzden sitenizi gizli sekmede veya farklı bir cihazda test etmeniz şarttır.

Yeni Admin Kullanıcıların Türemesi

WordPress yönetici panelinizde “Kullanıcılar” bölümüne girin. Tanımadığınız bir admin hesabı mı var? Özellikle “admin”, “support”, “wpadmin” gibi jenerik isimler şüphelidir. Silmeye çalıştığınızda tekrar ortaya çıkıyorlarsa, saldırgan veritabanına bir arka kapı yerleştirmiştir.

Şüpheli Zamanlanmış Görevler (Cron Jobs)

Gelişmiş saldırılar kendilerini gizlemek için WordPress’in planlanmış görev sistemini (WP-Cron) kullanır. “WP Crontrol” gibi bir eklenti kurarak cron işlerinizi listeleyin. Kaynağı belli olmayan, rastgele isimlendirilmiş veya sık çalışan bir işlem görürseniz, saldırının kaynağı orada olabilir.

Sunucu Kaynaklarında Anormal Artış

Hosting kontrol panelinizden CPU ve RAM kullanımınızı kontrol edin. Site normal trafiğini alırken işlemci kullanımı sürekli tepe değerlerdeyse, siteniz bir kripto madenci (cryptojacking) saldırısına uğramış olabilir. Hosting firmanız bu durumda sizi uyarabilir veya hesabınızı geçici olarak askıya alabilir.

Çekirdek Dosya Bütünlüğü Bozulması

Bu teknik teşhis için cPanel > Dosya Yöneticisi > wp-includes ve wp-admin klasörlerine gidin. Dosyaları tarihe göre sıralayın. Son değiştirilme tarihi, sizin güncelleme yaptığınız tarihten çok farklı olan PHP dosyaları değiştirilmiş demektir. Örneğin, aylardır güncelleme yapmadıysanız taze tarihli bir wp-settings.php kesinlikle şüphelidir.

Acil Durum: Erişimi Kesip Yedek Kontrolü Nasıl Yapılır?

Paniği bir kenara bırakın. Yanlış müdahale, saldırgandan daha fazla zarar verir. Kritik bir dosyayı yanlışlıkla silmek kalıcı veri kaybına yol açabilir. Soğukkanlı biçimde şu adımları izleyin:

Önce sitenin zarar görmesini durdurun, sonra temizlik için sağlam bir zemin hazırlayın. Bu sıra, geri döndürülemez hataların önüne geçer.

Siteyi Bakım Moduna Alın (İzole Edin)

Amaç, ne sizin ne de ziyaretçilerinizin daha fazla zarar görmesini engellemektir. wp-admin paneline girebiliyorsanız siteyi geçici bir süreliğine bakım moduna alın. Giremiyorsanız FTP veya hosting dosya yöneticinizle ana dizine boş bir .maintenance dosyası oluşturun. Bu, ziyaretçilere otomatik olarak kısa bir bakım mesajı gösterir.

Daha etkili bir yöntem olarak, domainin DNS yönlendirmesini geçici olarak durdurabilirsiniz. Ancak bu, sitenizi tamamen erişime kapatacağı için yalnızca ölümcül saldırılarda tercih edilmelidir.

Yedeklerinizi Doğrulayın (Altın Kural)

Temizliğe başlamadan önce şu soruyu cevaplayın: Saldırı ne zaman başladı? Saldırıdan öncesine ait temiz bir yedeğiniz varsa işiniz çok kolay. Hosting panelinizdeki yedekleme bölümünden geri dönün.

Yedeğiniz yoksa bu acı bir ders olur. Hosting seçimi yaparken otomatik yedekleme sunan firmaları tercih etmenin önemi tam da burada ortaya çıkıyor.

Tüm Şifreleri Değiştirin (Her Şeyi!)

Sadece WordPress admin şifresini değil; hosting paneli, FTP/SFTP, veritabanı (MySQL) kullanıcı şifresi ve e-posta şifrelerinizi de değiştirin. En az 20 karakterli, özel karakterler içeren benzersiz şifreler kullanın. Parola yöneticisi kullanmıyorsanız, bu olay tam zamanıdır.

Zararlı Yazılım Temizleme: Adım Adım Nasıl Yapılır?

WordPress sitem hacklendi, nasıl temizlerim? sorusunun özü burası. Otomatik araçlar işin önemli bir kısmını çözse de inatçı virüsler manuel müdahale ister. En sağlıklı sonuç, ikisini birleştiren hibrit bir yöntemdir.

Aşağıdaki adımları sırayla uygulayın. Her adım, bir öncekinin açığını kapatacak şekilde tasarlandı.

WordPress Dosyalarını Sıfırdan Yükleyin (Çekirdek Sıfırlama)

Saldırganlar genellikle wp-admin ve wp-includes klasörlerindeki çekirdek dosyalara bulaşır. En hızlı çözüm, WordPress’in son sürümünü indirip wp-content hariç tüm dosya ve klasörleri sunucuya atarak eskilerinin üzerine yazmaktır. Bu işlem wp-config.php dosyanızı silmez, tema ve yükleme dosyalarınıza dokunmaz.

Ancak saldırgan wp-config.php dosyasına da bulaşmışsa, bu yöntem tek başına yeterli olmayabilir.

# SSH ile sunucuya bağlandıktan sonra WordPress ana dizininde:
wget https://wordpress.org/latest.zip
unzip latest.zip
rm -rf wp-admin wp-includes
cp -R wordpress/wp-admin ./
cp -R wordpress/wp-includes ./

Wordfence ve Sucuri ile Derin Tarama

Wordfence, dosya sistemini ve veritabanını bilinen kötü amaçlı yazılım imzalarıyla karşılaştıran popüler bir güvenlik eklentisidir. Panele erişemiyorsanız Wordfence Assistant eklentisini FTP üzerinden manuel yükleyip etkinleştirebilirsiniz.

Alternatif olarak Sucuri SiteCheck gibi çevrimiçi tarayıcılar dışarıdan hızlı bir ön tarama yapabilir. Ancak uzaktan tarayıcılar sunucu seviyesindeki gizlenmiş kodları göremez.

functions.php ve .htaccess Dosyalarını İnceleyin

Saldırganların en sevdiği iki dosya burasıdır. Aktif temanızın functions.php dosyasını baştan sona okuyun. Şu fonksiyonları arayın: base64_decode, eval, str_rot13, gzinflate, assert. Ana dizindeki .htaccess dosyasında da başka siteye yönlendiren garip RewriteRule kodları var mı kontrol edin.

wp-content/uploads Klasörünü Dezenfekte Edin

WordPress, uploads klasöründe PHP dosyalarının çalıştırılmasına normalde izin vermez. Ancak saldırganlar .htaccess güvenliğini devre dışı bırakmış olabilir. Uploads klasöründe .php uzantılı dosya olup olmadığını şu komutla kontrol edin:

find /home/kullaniciadi/public_html/wp-content/uploads/ -name "*.php" -type f

Bu komut sonuç döndürürse, orada resim gibi görünen ama aslında çalıştırılabilir bir PHP dosyası tespit ettiniz demektir. Çıktıdaki tüm dosyaları silin.

Manuel temizlik zor geliyorsa veya 500 internal server error gibi sorunlar ortaya çıkarsa, işi profesyonel bir teknik ekibe devretmek en mantıklısıdır.

Veritabanı Enjeksiyonlarını ve Gizli Arka Kapıları Nasıl Bulurum?

Dosyaları temizlediniz ama site hâlâ kendiliğinden bozuluyor mu? Sorun veritabanında. SQL enjeksiyonu genellikle wp_options ve wp_posts tablolarına gizlenir. Bu bölümde, oradaki kalıntıları bulmayı göreceğiz.

wp_options Tablosunu Tarama

phpMyAdmin’e girin ve wp_options tablosunda şu SQL sorgusunu çalıştırın:

SELECT * FROM wp_options WHERE option_value LIKE '%eval%' OR option_value LIKE '%base64%' OR option_value LIKE '%iframe%';

Bu sorgu, gizlenmiş kötü amaçlı kodları bulmanızı sağlar. Özellikle active_plugins gibi seçeneklerin içine gizlenmiş satırları kontrol edin. Bu tür veritabanı kalıntıları, 500 internal server error sorunlarıyla birlikte görülebilir.

Gizli Admin Kullanıcılarını Silme

Veritabanı seviyesinde wp_users ve wp_usermeta tablolarını kontrol edin. Tanımadığınız kullanıcı ID’lerini tespit edin ve silin. Kendi kullanıcınızı silmemeye son derece dikkat edin.

DELETE FROM wp_users WHERE ID = 'ŞÜPHELİ_ID';

Saklanmış Cron Job’ları Temizleme

Veritabanı seviyesindeki zamanlanmış görevleri görmek için phpMyAdmin’de wp_options tablosunda option_name = 'cron' değerini arayın. İçeride tanımadığınız bir fonksiyon ismi varsa, o satırı düzenleyip temizleyin. Bu, saldırganın arka kapıyı sürekli açık tutmasını engeller.

Google Kara Listesinden Nasıl Çıkarım? (Güvenlik İncelemesi)

Siteniz tamamen temizlendikten sonra sıra itibarı geri kazanmaya gelir. Google, sitenizi otomatik olarak temizlemez; temiz olduğunuza kendinizi inandırmanız gerekir.

Süreç genellikle birkaç gün sürer. Bu nedenle inceleme talebini doğru ve eksiksiz göndermek çok önemlidir.

Search Console’da İnceleme Talep Edin

1. Google Search Console > Güvenlik ve Manuel İşlemler > Güvenlik sorunları bölümüne gidin.
2. “İnceleme iste” butonuna tıklayın.
3. Açıklama kutusuna yaptığınız temizlik adımlarını detaylıca yazın. Örneğin: “WordPress çekirdek dosyalarını sıfırladık, Wordfence ile taradık, veritabanındaki şüpheli kullanıcıları sildik.” Ne kadar detay verirseniz, inceleme o kadar hızlı tamamlanır.

Siteyi Yeniden İndekse Gönderme

Temizlik sonrası URL yapınız bozulduysa veya Google sitenizi düşük sıralara attıysa, yeni bir XML site haritası oluşturup Search Console’a gönderin. Bu, botların siteyi yeniden taramasını hızlandırır.

Aynı zamanda Core Web Vitals skorlarınızı kontrol edin. Saldırı sonrası performans sorunları sıralamanızı olumsuz etkileyebilir.

Spam İçerikleri Kaldırma

Japon SEO saldırılarında, sitenizde sizin görmediğiniz binlerce spam sayfa oluşmuş olabilir. Google’da site:domainadi.com yazarak indeksinizi inceleyin. Eski ilaç (pharma hack) veya kumar içerikleri görüyorsanız, bunlar muhtemelen veritabanındaki gizli linklerden geliyordur.

Gelecekteki Saldırılara Karşı 9 Katmanlı Koruma Nasıl Kurulur?

Temizlik bitti, peki yarın aynı şeyi yaşamak ister misiniz? Bu bölümdeki adımları uygulamazsanız büyük ihtimalle yaşarsınız. Çünkü botlar, bir kez hacklenmiş bir siteyi otomatik olarak tekrar tekrar tarar ve zayıf nokta arar.

Aşağıdaki 9 katman, savunmayı derinlemesine kurmanızı sağlar. Her katman tek başına yeterli değildir; birlikte güçlü bir kalkan oluşturur.

1. Web Uygulama Güvenlik Duvarı (WAF) Kurun

Cloudflare veya Sucuri gibi DNS seviyesinde bir güvenlik duvarı kullanın. Bu araçlar, kötü botları ve bilinen saldırı imzalarını sunucunuza ulaşmadan engeller. Özellikle Cloudflare’ın “Under Attack” modu, anlık DDoS ve agresif tarama saldırıları için birebirdir.

2. Güncellemeleri Otomatize Edin

Güncel olmayan bir WordPress çekirdeği veya eklentisi kullanmak, hırsıza kapıyı açık bırakmak gibidir. Küçük çekirdek güncellemelerini otomatikleştirmek için wp-config.php dosyanıza şu satırı ekleyin:

define( 'WP_AUTO_UPDATE_CORE', true );

3. Güçlü Parola ve 2FA Politikası

Siteye erişimi olan her kullanıcı için iki faktörlü kimlik doğrulamayı (2FA) zorunlu kılın. Wordfence veya Google Authenticator eklentileriyle bunu kolayca yapabilirsiniz. “admin” kullanıcı adını asla kullanmayın.

4. Dosya Bütünlüğü İzleme

Hosting seviyesinde dosya değişiklik izleme sistemi kurun. Saviorhost gibi yönetimli hosting hizmetleri, sunucu seviyesinde bu izlemeyi sizin için yapar. İzinsiz dosya değişikliğinde anında uyarı alırsınız.

5. Gereksiz Eklentileri Kaldırın

Kullanmadığınız her eklenti potansiyel bir güvenlik açığıdır. WordPress saldırılarının önemli bir bölümü eklenti kaynaklıdır. Sadece ihtiyacınız olan, aktif olarak güncellenen ve geniş kullanıcı kitlesine sahip eklentileri kullanın.

6. XML-RPC ve WP-JSON Kısıtlaması

Brute force saldırıları genellikle xmlrpc.php dosyasını hedefler. WordPress mobil uygulaması veya uzak bağlantı kullanmıyorsanız, bu dosyayı devre dışı bırakın:

// wp-config.php içine ekleyin
add_filter( 'xmlrpc_enabled', '__return_false' );

7. Düzenli Yedek Alın (Saldırı Öncesi)

Bu işi şansa bırakmayın. Haftada bir, tercihen günde bir otomatik yedek alan ve yedekleri farklı bir lokasyonda (off-site) saklayan bir sistem kurun. E-ticaret yapıyorsanız, e-ticaret sunucu gereksinimleri arasında gerçek zamanlı yedekleme en kritik maddedir.

8. Veritabanı Önekini Değiştirin

Standart wp_ önekini değiştirmek, otomatize SQL enjeksiyon araçlarını şaşırtır. Kurulum aşamasında veya bir eklenti yardımıyla bu öneki değiştirin.

9. Dosya İzinlerini Sertleştirin

Klasörler için 755, dosyalar için 644 izni standarttır. wp-config.php için 400 veya 440 izni vererek bu hayati dosyayı oku-yaz saldırılarına karşı kapatın.

Bu katmanların tamamını kendi sunucunuzda yönetmek zaman alıcı olabilir. Saviorhost’un WordPress hosting paketleri, Nginx, ModSecurity ve Imunify360 gibi korumaları varsayılan olarak barındırır ve güvenlik yükünü hafifletir.

Sitenizi Kalıcı Olarak Güvenli Tutmak İçin Bugün Ne Yapmalısınız?

Bu rehberi uyguladıysanız, siteniz şu anda büyük ihtimalle temiz. Ama asıl mesele şu: WordPress sitem hacklendi vakası yalnızca bir temizlik meselesi değil, bir zihniyet değişiminin başlangıcıdır. Bugüne kadar “Bana bir şey olmaz” diyordunuz; artık “Bir daha asla izin vermeyeceğim” demelisiniz.

Şimdi yapmanız gerekenler basit ve net:

1. Şifreleri değiştirip 2FA’yı aktif edin.
2. Cloudflare WAF kurulumunu bugün tamamlayın.
3. Wordfence taramasını haftalık olarak zamanlayın.
4. Hosting sağlayıcınızın güvenlik katmanlarını sorgulayın. Sunucu seviyesinde Imunify360 veya ClamAV gibi korumalar yoksa, güvenliği ciddiye alan bir altyapıya geçmenin vakti gelmiş demektir.

Hacklenmiş bir siteyi temizlemek pahalı, korumak ise çok daha ucuzdur. Sitenizi bugünden sağlamlaştırın, yarın pişman olmayın.

Sıkça Sorulan Sorular

WordPress sitemin hacklendiğini hemen nasıl anlarım?

En hızlı yöntem Google Safe Browsing sayfasında sitenizi sorgulamaktır. Search Console’daki güvenlik sorunları bildirimleri ve beklenmedik yönlendirmeler de en net göstergelerdir. Sitenizi tarayıcının gizli modunda ziyaret ederek farklı bir kullanıcı gibi test edebilirsiniz.

Ücretsiz bir şekilde WordPress zararlı yazılım temizliği yapabilir miyim?

Evet, Wordfence ve Sucuri SiteCheck gibi ücretsiz araçlarla temel düzeyde temizlik yapabilirsiniz. Ancak bu araçlar sunucu seviyesindeki gizli arka kapıları her zaman bulamaz. Manuel kod incelemesi şarttır.

WordPress saldırılarının en yaygın türleri nelerdir?

Brute force saldırıları, SQL enjeksiyonu, Cross-Site Scripting (XSS), Japon SEO spam ve pharma hack en sık görülen saldırı türleridir. Son yıllarda eklenti kaynaklı sıfırıncı gün açıkları da sıkça rapor ediliyor.

Sitedeki zararlı yazılımı temizledim ama Google uyarısı hâlâ duruyor, ne yapmalıyım?

Google uyarıları otomatik kalkmaz. Search Console’dan “Güvenlik Sorunları” bölümüne gidip inceleme talebi göndermeniz zorunludur. Google botları sitenizi yeniden tarayıp temiz olduğuna kanaat getirdikten sonra uyarıyı kaldırır; bu süreç 48 saate kadar sürebilir.

Wp-admin paneline giriş yapamıyorsam işlemleri nasıl yapacağım?

FTP veya hosting panelinizin dosya yöneticisi ile doğrudan dosyalara müdahale edebilirsiniz. Veritabanına phpMyAdmin üzerinden bağlanarak şifre sıfırlaması yapmak veya şüpheli admin hesaplarını silmek mümkündür.

Hacklenme olayından sonra SEO sıralamam düzelir mi?

Evet, doğru temizlik ve indeks temizliği sonrası sıralamalar genellikle geri gelir. Ancak spam içerikler uzun süre indekste kaldıysa, eski gücünüze kavuşmanız birkaç hafta sürebilir. Temizlik sonrası yeni içerik üretmek ve site haritası göndermek iyileşmeyi hızlandırır.