WordPress, 6 Ekim’de 7.1.3 sürümünü yayımladı. Bu bir vitrin yeniliği değil, bir güvenlik güncellemesi: 7 güvenlik açığı ve 4 hata düzeltildi. WordPress ekibi, siteleri hemen güncellemeyi öneriyor. Siteniz WordPress ile çalışıyorsa bu yazı, ne olduğunu ve bugün ne yapmanız gerektiğini kısaca anlatıyor.
WordPress 7.1.3 ile ne düzeltildi?
WordPress.org’un resmi duyurusuna göre sürümde 7 güvenlik düzeltmesi ve 4 hata düzeltmesi var. Duyuruda öne çıkan başlıklar şunlar:
- Yönetim panelindeki yorumlar ekranında kalıcı XSS açığı (kötü niyetli bir kodun sayfaya yerleşmesi)
WP_Http::make_absolute_url()fonksiyonunda hizmet aksatma (DoS) sorunu- İçerik dışa aktarma (WXR) aracında ikinci dereceden SQL enjeksiyonu
- Yazar rolündeki kullanıcıların yazıları öne çıkarabilmesi
- Özel ve yayımlanmamış yazılara gelen yorumların kimlik doğrulaması olmadan görülebilmesi
- Imgur gömmelerinde XSS açığı
- Yanlış kurgulanabilen kanca (hook) adlarından doğan çakışma
Teknik terimler kafanızı karıştırmasın. Özetle: bazı açıklar, kötü niyetli birinin sitenize zararlı kod yerleştirmesine, veritabanıyla oynamasına ya da görmemesi gereken içeriğe ulaşmasına zemin hazırlayabiliyor.
Neden bu güvenlik güncellemesi ertelenmemeli?
Bir açık duyurulduğunda, ayrıntıları herkesin okuyabileceği bir hâle gelir. Saldırganlar güncellemeyi yapmamış siteleri tarayan otomatik araçlar kullanır. Yani her gün geçirdiğiniz süre riski artırır.
Bunu şöyle düşünün: Bir bina yönetimi “kapı kilidinde kusur bulundu, yeni kilit takıldı” diye duyuru asıyor. Kilidi değiştirmeyen daire, duyuru yüzünden daha çok hedef olur. WordPress’te de durum aynı.
İyi haber şu: WordPress ekibi düzeltmeleri eski sürümlere de uyguluyor. Ancak önceki sürüm yazımızda anlattığımız 7.1 hattında olmanız en güvenli yol.
Siteniz için güvenlik güncellemesi adımları
Kendi sitenizi yönetiyorsanız şu sırayı izleyin:
- Yedek alın. Dosyaları ve veritabanını ayrı ayrı yedekleyin.
- Sürümünüzü öğrenin. Yönetim Paneli’nde Panel, ardından Güncellemeler sayfasına gidin.
- Eklenti ve tema uyumuna bakın. Büyük sürüm atlamıyorsunuz, ama yine de eklentilerin güncel olması gerekir.
- “Şimdi Güncelle” düğmesine basın. Güvenlik sürümleri genelde saniyeler içinde kurulur.
- Siteyi gezin. Ana sayfa, iletişim formu ve (varsa) ödeme akışı çalışıyor mu bakın.
Arka plan otomatik güncellemeleri açıksa küçük güvenlik sürümleri kendiliğinden kurulur. Yine de kurulduğundan emin olmak için kontrol etmekte fayda var.
Güvenlik güncellemesi sonrası kontrol listesi
Güncellemeden sonra şunlara göz atın:
- Yönetici hesaplarında tanımadığınız kullanıcı var mı?
- Yorumlarda ya da sayfalarda alışılmadık bağlantılar ve metinler çıktı mı?
- Formlarınız mesaj iletmeye devam ediyor mu?
Bir şey şüpheli görünüyorsa kendi başınıza kurcalamayın, yedeğe dönüp bir uzmana danışın.
Güvenlik güncellemesi sık geliyorsa site kötü mü demek?
Hayır, tam tersi. WordPress dünyada çok yaygın kullanıldığı için sürekli incelenir ve açıkları araştırmacılar tarafından bulunup bildirilir. Düzeltme hızlı gelir. Sorun açığın bulunması değil, düzeltmenin sitenize ulaşmaması.
Bunu hastane gibi düşünün: hastanenin sık sık hijyen denetimi yapılması iyi bir işarettir. Denetimden kaçınan yer asıl endişe vericidir. Aynı şekilde sık gelen her güvenlik güncellemesi, ekibin işini ciddiye aldığını gösterir.
Eklentiler ve temalar da hesaba katılmalı
WordPress çekirdeği güncel olsa bile eski bir eklenti kapıyı açık bırakabilir. Her güvenlik güncellemesi gününde şu kısa kontrolü yapın:
- Kullanmadığınız eklentileri silin, yalnızca devre dışı bırakmayın.
- Eklentilerin ve temanın güncel sürümde olduğuna bakın.
- Yönetici hesaplarında güçlü parola ve iki adımlı doğrulama kullanın.
- Her kullanıcıya yalnızca işine yetecek yetkiyi verin. Bu yazıdaki açıklardan biri, yazar rolündeki kullanıcıları ilgilendiriyordu.
İşletme sahibi için asıl ders
Güvenlik açıkları her ay çıkıyor. Bu yılın ağustos ve eylül aylarında da WordPress birden fazla güvenlik sürümü yayımladı. Mesele bir kez güncellemek değil, bunu düzenli yapmak. Bakımı ihmal edilen bir site, kapısı aralık bir dükkâna benzer: çoğu gün sorun çıkmaz, ama çıktığında hem müşteri güveni hem de Google görünürlüğü zarar görür.
Ali Kaptan olarak 8 yılı aşkın deneyimle ve 50’den fazla proje boyunca gördüğümüz bir gerçek var: işletmeler çoğunlukla güncellemeyi “vaktim olunca” diye erteliyor. Bunu sizin yerinize düzenli yapmak için bakım ve destek hizmetimize bakabilirsiniz. Yedekleme, güncelleme ve takip tek elden yürür, siz işinize odaklanırsınız.
Sıfırdan bir site düşünüyorsanız, ilk günden bakım planı olan bir yapı kurmak sizi yıllarca rahatlatır. Bunun için kurumsal web sitesi hizmetimize göz atabilirsiniz.
Güncellemeyi kimsenin fark etmediği bir şey hâline getirin
En iyi güncelleme alışkanlığı, hatırlamanıza gerek kalmayan alışkanlıktır. Takviminize haftalık on dakikalık bir “site kontrolü” ekleyin: sürüm, yedek ve çalışan formlar. Ya da bu işi bir uzmana devredin.
Yedeğinizi yalnızca sunucuda tutmayın. Sunucu sorun yaşarsa yedek de gider. Bir kopyasını farklı bir yerde saklayın ve ara sıra geri yükleme denemesi yapın. Test edilmemiş yedek, yalnızca bir umuttur.
Kısaca
- WordPress 7.1.3, 6 Ekim’de yayımlandı ve 7 güvenlik açığını kapatıyor.
- Bu güvenlik güncellemesi için beklemeyin: önce yedek, sonra güncelleme.
- Güncelleme sonrası sitenizi ve yönetici hesaplarınızı kontrol edin.
- Düzenli bakım, tek seferlik müdahaleden her zaman daha ucuz ve güvenlidir.
Not: WordPress 7.1.3, 6 Ekim’de yayımlandı. Son 48 saatte web ve yazılım kategorisinde işletmeleri bu kadar doğrudan ilgilendiren bir haber çıkmadığı için haber süresi genişletildi.
