Web Sitesi Güvenliği: Siteler Nasıl Hackleniyor?

"Beni kim neden hacklesin ki?"

Bu sorunun cevabı, sorunun kendisindeki varsayımı yıkıyor: sizi hackleyen kimse sizi seçmedi. İnternette sürekli dolaşan otomatik betikler var ve yaptıkları iş tek tek siteleri incelemek değil; bilinen bir açığı taşıyan sunucuları sırayla denemek. Sitenizin küçük olması sizi görünmez yapmıyor. Yalnızca saldırıyı kişisel olmaktan çıkarıyor.

Bu yazı, sitelerin gerçekte nasıl ele geçirildiğini, bedelinin neden teknik değil ticari olduğunu ve gerçekten işe yarayan önlemleri anlatıyor.

Önemli Çıkarımlar

• Saldırıların çoğu hedefli değil; otomatik tarama sonucu bulunan açıklar üzerinden ilerliyor.
• Giriş noktası genellikle çekirdek yazılım değil, güncellenmemiş eklenti ve temalar. WordPress tüm web sitelerinin %40,2'sinde kullanılıyor (W3Techs, 29 Eylül 2026).
• Eskimiş PHP doğrudan bir güvenlik kalemi: PHP 8.2'nin güvenlik desteği 31 Aralık 2026'da bitiyor (php.net).
• SSL güvenlik değil şifreleme. Let's Encrypt sertifikayı sıfır maliyetle veriyor (Let's Encrypt).
• Asıl bedel trafik: Google, güvenlik sorunu görülen sitelerde Chrome'un ziyaretçilere uyarı gösterebileceğini belirtiyor (Google).

Siteler hedef seçilerek hacklenmiyor

Saldırıyı bir insanın klavye başında sizin sitenizi incelemesi olarak hayal etmek yanlış. Gerçekte olan şey çok daha sıkıcı ve çok daha yaygın: bir betik, IP aralıklarını tarayarak belirli bir eklentinin belirli bir sürümünü arıyor. Bulduğu her adreste aynı iki satırı deniyor. Çalışırsa içeri giriyor, çalışmazsa bir sonrakine geçiyor.

Bu yüzden "benim sitemde çalınacak bir şey yok" savunması işe yaramıyor. Ele geçirilen site çoğu zaman veri için değil, altyapı için isteniyor: üzerine spam sayfalar kurmak, kimlik avı sayfası barındırmak, başka saldırılara aracı olmak, ya da arama motorlarında görünen sayfalarınıza gizli linkler eklemek.

Son madde özellikle sinsi. Site normal çalışmaya devam eder, siz hiçbir şey fark etmezsiniz; ama Google'ın gördüğü sayfalarda sizin koymadığınız bağlantılar durur.

Kapı genellikle eklentiden açılıyor

WordPress, tüm web sitelerinin %40,2'sinde ve içerik yönetim sistemi bilinen sitelerin %58,7'sinde kullanılıyor (W3Techs, 29 Eylül 2026). Bu ölçek tek başına bir zafiyet değil — ama otomatik tarayıcılar için hedef listesi anlamına geliyor.

Kritik ayrım şu: sorun genellikle çekirdek yazılımda değil, çevresine kurulan eklenti ve temalarda. Çekirdek düzenli güncelleniyor ve geniş bir ekip tarafından denetleniyor. Buna karşılık ortalama bir sitede on beş yirmi eklenti bulunuyor; bunların bir kısmı yıllar önce terk edilmiş, bir kısmı lisansı yenilenmediği için güncelleme almayı bırakmış.

Güncelleme almayan bir eklenti ücretsiz bir eklenti değildir. Ertelenmiş bir sorundur.

Pratik sonuç: kurulu her eklenti bir bakım yükümlülüğüdür. "Belki lazım olur" diye kurulup unutulan eklenti, siteye kattığından fazlasını risk olarak geri veriyor.

Eskimiş PHP bir güvenlik kalemidir

Bu, teklif aşamasında neredeyse hiç konuşulmayan ama en somut kalemlerden biri.

PHP'nin her sürüm dalı iki yıl etkin destek alıyor — hatalar ve güvenlik açıkları düzenli sürümlerle kapatılıyor — ardından yalnızca kritik güvenlik açıklarının kapatıldığı iki yıl daha geliyor. PHP 8.2'nin güvenlik desteği 31 Aralık 2026'da bitiyor (php.net).

WordPress'in kendi gereksinim sayfası da aynı yöne işaret ediyor: PHP 8.3 veya üstü öneriliyor, eski sürümlerin çalışmaya devam edeceği ama ömrünü tamamladığı ve siteyi güvenlik açıklarına maruz bırakabileceği belirtiliyor (WordPress.org).

Buradaki tuzak, hiçbir şeyin görünür biçimde bozulmaması. Destek biten bir PHP sürümünde çalışan site gayet iyi açılır, formlar çalışır, kimse bir şey fark etmez. Değişen tek şey, yeni bulunan açıkların artık yamalanmıyor olması. Sitenin ne zaman bakım gerektirdiği sorusunun en net cevabı da bu tarihler.

SSL güvenlik değildir

Yaygın bir yanlış anlama, düzeltmeye değer.

SSL/TLS sertifikası, ziyaretçinin tarayıcısıyla sunucu arasındaki trafiği şifreliyor. Yaptığı iş bu kadar. Sunucuda çalışan yazılımın güncel olup olmadığı, eklentilerin açık taşıyıp taşımadığı, yönetici parolasının ne olduğu ile hiçbir ilgisi yok.

Üstelik sertifika artık bir yatırım da değil: Let's Encrypt, "alan adı sahibi olan herkes"in "güvenilir bir sertifikayı sıfır maliyetle" alabileceğini yazıyor (Let's Encrypt). Herkeste olan ve ücretsiz olan bir şey, rakiplerinizden ayıran bir güvenlik önlemi olamaz.

Adres çubuğundaki kilit, sitenin güvenli olduğunu değil, bağlantının şifreli olduğunu söylüyor. Kimlik avı sayfalarının büyük kısmı da HTTPS kullanıyor.

Asıl bedel teknik değil ticari

Sitesi ele geçirilen çoğu şirketin ilk düşündüğü şey veritabanı oluyor. Oysa asıl kayıp başka yerde.

Google, sosyal mühendislik içeriği tespit edilen sitelerde "Chrome tarayıcısının ziyaretçiler siteyi görüntülediğinde 'Deceptive site ahead' uyarısı gösterebileceğini" belirtiyor (Google Search Central). Aynı belge, Google Safe Browsing'in kullanıcıları bu sayfaları ziyaret etmeden önce uyardığını söylüyor.

Bunun anlamı şu: arama sonuçlarındaki sıranız ne olursa olsun, ziyaretçi kırmızı bir uyarı ekranıyla karşılaşıyor ve geri dönüyor. Aylarca çalışıp kazandığınız organik trafik bir gecede kullanılamaz hâle geliyor.

Temizlik de anlık değil. Açığı kapatmak, içeriği temizlemek, sonra Google'dan inceleme talep etmek gerekiyor — ve inceleme günler sürebiliyor. Bu süre boyunca site teknik olarak ayakta, ticari olarak kapalıdır.

Gerçekten işe yarayan önlemler

Liste kısa ve sıkıcı. İşe yaramasının sebebi de bu.

Güncellemeyi bir takvim işi hâline getirin. Ayda bir sabit gün: çekirdek, eklenti, tema ve PHP sürümü kontrol edilir. "Bir şey bozulmasın" diye ertelenen güncellemeler, biriktikçe daha riskli hâle geliyor.

Kullanmadığınız her şeyi silin. Devre dışı bırakılmış bir eklenti sunucuda duruyorsa hâlâ saldırı yüzeyidir. Devre dışı bırakmak yetmez, kaldırmak gerekir.

Yedeği sitenin durduğu yerden başka yerde tutun. Sunucunun kendisinde duran yedek, sunucu ele geçirildiğinde birlikte gidiyor. Yedeğin geri yüklenebildiğini de en az yılda bir deneyin — denenmemiş yedek, yedek sayılmaz.

Yönetici erişimini daraltın. Herkese yönetici yetkisi vermeyin, ayrılan çalışanın hesabını kapatın, iki adımlı doğrulamayı açın. Ele geçirmelerin bir kısmı açıktan değil, hâlâ açık duran eski bir hesaptan geliyor.

Sunucu ile uygulama sorumluluğunu ayırın. Barındırma firması işletim sistemini ve ağı koruyor; WordPress sürümü, eklentiler ve parolalar sizde. "Güvenlik dâhil" yazan bir paketin neyi kapsadığını yazılı sorun — kapsamı sorulmadan imzalanan sözleşmelerin tipik örneği bu.

Kısaca

Siteler hedef seçilerek değil, taranarak ele geçiriliyor. Kapı çoğunlukla çekirdek yazılımdan değil, güncellenmemiş bir eklentiden ya da destek süresi dolmuş bir PHP sürümünden açılıyor. SSL bu tabloda bir önlem değil, yalnızca şifreleme.

Bedeli de sandığınız yerde değil: veritabanınızdan çok, tarayıcının ziyaretçiye gösterdiği uyarıda ve onu temizlemek için geçen günlerde.

Sitenizin hangi PHP sürümünde çalıştığını ve kaç eklentinin bir yıldır güncelleme almadığını biliyor musunuz? Bilmiyorsanız, güvenlik sorunuz zaten başlamış demektir. Sitenizi kimin ayakta tuttuğunu konuşmak isterseniz yazın.