WordPress Sitem Hacklendi mi? Belirtiler, Tespit ve İlk Müdahale

Bir WordPress sitesinin hacklenmesi, yetkisiz bir kişinin siteye kod, dosya veya kullanıcı ekleyip siteyi kendi amacı için kullanmasıdır.

Panik yapmanıza gerek yok. 12 yıldır WordPress sitelerini temizliyorum ve şunu net söyleyebilirim: hacklenmiş sitelerin büyük çoğunluğu kurtarılabilir. Veri kaybı yaşanan vakalar istisnadır.

Bu yazıda önce siteni doğru teşhis etmeni, sonra doğru sırayla müdahale etmeni sağlayacağım. Yanlış müdahale, hacklenmenin kendisinden daha fazla zarar verebilir. Bu yüzden acele etmeden okumanı öneririm.

Hacklenme Belirtileri: 10 Somut İşaret

Aşağıdaki işaretlerden bir tanesinin bile varlığı ciddiye alınmalı. İkisi birden varsa enfeksiyon neredeyse kesindir.

1. Google arama sonuçlarında uyarı çıkıyor. “Bu site bilgisayarınıza zarar verebilir” veya “Aldatıcı site ileride” uyarısı, Google’ın Safe Browsing sisteminin sitenizde zararlı kod tespit ettiği anlamına gelir. Bu uyarı tarayıcıda kırmızı ekran olarak da çıkabilir ve trafiğinizin neredeyse tamamını anında keser.

2. Site başka bir adrese yönlendiriyor. Kullanıcı sitenize giriyor, birkaç saniye sonra bahis, ilaç veya yetişkin içerikli bir siteye atılıyor. Bu yönlendirme genellikle seçici çalışır. Yönetici olarak giriş yapmışsanız veya masaüstünden girdiyseniz tetiklenmez, sadece mobil ziyaretçilerde veya Google’dan gelen trafikte devreye girer. Bu yüzden site sahibi çoğu zaman sorunu haftalarca fark etmez.

3. Arama sonuçlarında spam kelimeler görünüyor. site: araması yaptığınızda hiç oluşturmadığınız yüzlerce sayfa çıkıyor. Bunlar genellikle sahte ürün satışı, kaçak bahis veya reçeteli ilaç sayfalarıdır. Sitenizin otoritesini kullanarak sıralanırlar.

4. Tanımadığınız yönetici hesapları var. Kullanıcılar ekranında sizin oluşturmadığınız bir “admin”, “wpuser”, “support” ya da rastgele harflerden oluşan bir yönetici hesabı görüyorsanız, saldırgan siteye kalıcı erişim açmış demektir. Bu hesapların kayıt tarihi çoğu zaman enfeksiyonun başlangıç tarihini de verir.

5. Site belirgin şekilde yavaşladı. Sunucu kaynaklarını tüketen kripto madencilik betikleri veya sitenizi spam mail gönderiminde kullanan kodlar, CPU kullanımını tavana vurdurur. Hosting firmanızdan “kaynak aşımı” uyarısı geldiyse bu ihtimali ciddiye alın.

6. Dosya değiştirilme tarihleri tutarsız. FTP veya hosting dosya yöneticisinde wp-content ve kök dizine bakın, dosyaları değiştirilme tarihine göre sıralayın. Siz hiçbir şey yapmadığınız bir günde değişmiş index.php, wp-config.php veya tema dosyaları varsa bu güçlü bir kanıttır.

7. Sitenizden spam mail çıkıyor. Müşterileriniz sizden gelmeyen mailler aldığını söylüyorsa veya alan adınız spam kara listesine düştüyse, sunucunuz mail kuyruğu olarak kullanılıyor olabilir. Genellikle sitedeki bir arka kapıdan beslenir.

8. Dizinlerde tanımadığınız dosyalar var. wp-content/uploads klasöründe .php uzantılı dosya olmamalıdır; orada sadece görsel ve doküman bulunur. Kök dizinde wp- ile başlayan ama WordPress’e ait olmayan dosyalar (wp-conflg.php, wp-cache-old.php gibi) klasik arka kapı isimleridir.

9. .htaccess dosyası değişmiş. Bu dosyanın içinde tanımadığınız RewriteRule satırları, auto_prepend_file yönergesi veya kullanıcı ajanına göre yönlendirme yapan bloklar varsa dosya kurcalanmıştır. Yönlendirme virüslerinin en sık kullandığı noktadır.

10. Sayfalarınızda olmayan reklamlar çıkıyor. Sizin eklemediğiniz banner’lar, pop-up’lar veya metin içine gömülmüş bağlantılar görüyorsanız, tema dosyalarınıza veya veritabanınıza reklam enjekte edilmiştir. Bunlar da genellikle sadece ziyaretçilere gösterilir, size değil.

5 Dakikada Hızlı Kontrol

Aşağıdaki dört adımı sırayla uygulayın. Hiçbiri teknik bilgi gerektirmiyor ve toplamda beş dakikanızı alıyor.

Adım 1: Google site: araması (1 dakika). Google’a site:sitenizinadi.com yazın. Çıkan sonuç sayısına ve başlıklara bakın. Sitenizde 40 sayfa varken 3.000 sonuç görüyorsanız, ya da başlıklarda alakasız kelimeler varsa SEO spam enjeksiyonu var demektir. Daha spesifik test için site:sitenizinadi.com bahis veya site:sitenizinadi.com cheap gibi aramalar yapabilirsiniz.

Adım 2: Search Console Güvenlik Sorunları (1 dakika). Google Search Console hesabınıza girin, sol menüden Güvenlik ve Manuel İşlemler bölümündeki Güvenlik Sorunları sekmesini açın. “Sorun algılanmadı” yazıyorsa Google şu an bir şey görmüyor demektir. Bu tek başına temiz olduğunuz anlamına gelmez ama iyi bir işarettir. Uyarı varsa Google enfeksiyon türünü ve örnek URL’leri de gösterir; bu bilgi temizlik için çok değerlidir, ekran görüntüsü alın.

Adım 3: Farklı tarayıcı ve mobil testi (2 dakika). Sitenizi şu üç şekilde ayrı ayrı açın: (a) gizli sekmede masaüstünden, (b) mobil veriyle telefonunuzdan, (c) Google araması üzerinden tıklayarak. Zararlı kodların çoğu ziyaretçiyi tanır ve site sahibine normal sayfayı gösterir. Üç yöntemin ikisinde farklı sonuç alıyorsanız bu koşullu bir enfeksiyondur.

Adım 4: Kullanıcı listesi kontrolü (1 dakika). WordPress panelinde Kullanıcılar bölümünü açın ve rolü “Yönetici” olanları filtreleyin. Tanımadığınız her hesabı not edin ama henüz silmeyin. Hesabın kayıt tarihi ve e-posta adresi, saldırının nasıl geldiğini anlamak için gereklidir. Ayrıca Ayarlar bölümünde “Yönetici E-posta Adresi” ve “Herkes kayıt olabilir” seçeneklerinin değiştirilmemiş olduğunu doğrulayın.

Ücretsiz Tarama Araçları

Bu araçlar tanı koymanıza yardım eder. Hiçbiri tek başına “temiz” garantisi vermez; özellikle dış taramalar, sunucudaki dosyaları göremez.

Araç	Ne yapar	Güçlü yanı	Sınırı
Sucuri SiteCheck	Sitenizi dışarıdan tarar, bilinen zararlı kod imzalarını ve kara liste durumunu kontrol eder	Ücretsiz, kurulum gerektirmez, saniyeler içinde sonuç verir	Sunucudaki gizli arka kapıları göremez; sadece dışarıdan görünen kodu tarar
Google Safe Browsing	Alan adınızın Google kara listesinde olup olmadığını gösterir	Google’ın sitenize dair resmi görüşü budur	Sadece kara liste durumu; enfeksiyon türünü söylemez
Wordfence	Sunucudaki tüm dosyaları WordPress orijinalleriyle karşılaştırır, değişmiş ve fazladan dosyaları listeler	En derin tarama; dosya bazında sonuç verir	Sitenin panele girilebilir olmasını gerektirir; yavaş çalışabilir
VirusTotal	Adresinizi 70’ten fazla güvenlik motoruyla kontrol eder	Farklı kara listeleri tek ekranda gösterir	Yalnızca URL seviyesi; site içi kodu analiz etmez
Hosting panel dosya listesi	Dosyaları değiştirilme tarihine göre sıralar	Tam erişim, en gerçekçi tablo	Yorumlamak deneyim gerektirir

Pratikte doğru sıra şudur: önce Sucuri SiteCheck ile hızlı bakış, sonra Search Console kontrolü, panele girebiliyorsanız en son Wordfence taraması.

Enfeksiyon Türleri

Her enfeksiyon farklı bir amaca hizmet eder ve temizlik yaklaşımı da farklıdır. Kendinizinkini tanımak, doğru müdahaleye giden ilk adımdır.

SEO Spam Enjeksiyonu

Belirtileri: site: aramasında yüzlerce sahte sayfa, alakasız anahtar kelimeler içeren başlıklar, sayfa kaynağında gizlenmiş (CSS ile görünmez yapılmış) bağlantı blokları.

Amacı: Sitenizin Google nezdindeki otoritesini çalarak saldırganın kendi sitelerine bağlantı geçirmek.

Tehlike seviyesi: Orta-Yüksek. Ziyaretçiye doğrudan zarar vermez ama sıralamalarınızı yok eder ve Google manuel işlem cezası riski taşır. Fark edilmesi en geç olan türdür.

Yönlendirme Virüsü

Belirtileri: Site açılıp saniyeler içinde başka bir adrese atıyor; sorun genellikle sadece mobilde veya Google’dan gelen ziyaretçilerde ortaya çıkıyor. .htaccess veya tema functions.php dosyasında tanımadığınız kod blokları.

Amacı: Trafiğinizi para kazanılan sitelere satmak.

Tehlike seviyesi: Yüksek. Trafiğinizi anında kaybedersiniz ve Google kara listesine girme ihtimali en yüksek türdür.

Arka Kapı (Backdoor)

Belirtileri: Genellikle hiçbir görünür belirti yoktur. Temizlik yaptınız, site birkaç gün sonra tekrar bozuldu; bu klasik arka kapı senaryosudur. uploads klasöründe .php dosyaları, kök dizinde tuhaf isimli dosyalar, base64_decode veya eval içeren kod parçaları.

Amacı: Şifreyi değiştirseniz bile saldırganın siteye tekrar girebilmesi.

Tehlike seviyesi: Çok Yüksek. Kendi başına zarar vermez ama diğer tüm enfeksiyonların tekrar etmesinin sebebidir. Temizlikte atlanan tek bir arka kapı, tüm emeği boşa çıkarır.

Phishing (Oltalama) Sayfaları

Belirtileri: Sitenizin bir alt dizininde sizin oluşturmadığınız banka, kargo firması veya e-posta sağlayıcısı giriş sayfaları. Genellikle wp-content/uploads altında derin klasörlerde gizlenir.

Amacı: Sizin alan adınızın güvenilirliğini kullanarak insanların banka bilgilerini çalmak.

Tehlike seviyesi: Çok Yüksek. Yasal sorumluluk riski taşır, hosting firması siteyi kapatabilir ve Google “Aldatıcı site” uyarısını en hızlı bu türde verir. En acil müdahale gerektiren enfeksiyondur.

Kripto Madenci

Belirtileri: Site aşırı yavaşladı, hosting firmasından CPU kaynak aşımı uyarısı geldi, ziyaretçiler cihazlarının ısındığını söylüyor.

Amacı: Sunucunuzun ya da ziyaretçilerinizin işlemci gücünü kripto para üretiminde kullanmak.

Tehlike seviyesi: Orta. Veri çalmaz ama hosting hesabınızın askıya alınmasına ve kullanıcı deneyiminin çökmesine yol açar.

Reklam / İçerik Enjeksiyonu

Belirtileri: Sayfalarınızda sizin koymadığınız banner’lar, pop-up’lar veya yazı içine gömülmüş metin bağlantıları. Genellikle veritabanındaki wp_posts veya wp_options tablosuna yazılır.

Amacı: Trafiğinizden reklam geliri elde etmek.

Tehlike seviyesi: Orta. Marka itibarınıza zarar verir, dönüşümlerinizi düşürür; ayrıca enjekte edilen reklamlar zararlı yazılım da dağıtabilir.

İlk Müdahale: Ne Yapmalı, Ne Yapmamalı

Bu bölüm yazının en kritik kısmı. Hacklenmiş bir sitede yanlış sırayla atılan adımlar, kanıtları yok eder ve temizliği hem zorlaştırır hem pahalılaştırır.

Sırayla Yapılacaklar

1. Sitenin mevcut halinin tam yedeğini alın. Enfekte haliyle bile olsa yedek alın; dosyalar ve veritabanı, ikisi birden. Bu yedek temizlik için kanıt kaynağıdır: hangi dosyanın ne zaman değiştiğini ancak bu yedekten anlarsınız. Hosting panelinden “Yedekle” ile veya FTP ile tüm klasörü indirerek yapabilirsiniz.
2. Tüm şifreleri değiştirin. WordPress yönetici hesapları, hosting/cPanel şifresi, FTP/SFTP şifreleri ve veritabanı şifresi. Veritabanı şifresini değiştirdiyseniz wp-config.php dosyasındaki DB_PASSWORD satırını da güncellemeyi unutmayın.
3. Tüm oturumları sonlandırın. wp-config.php içindeki güvenlik anahtarlarını (AUTH_KEY, SECURE_AUTH_KEY ve diğerleri) yenilemek, çalınmış çerezlerle açık kalan tüm oturumları anında kapatır. Yeni anahtarları WordPress’in resmi anahtar üreticisinden alabilirsiniz.
4. Hosting firmanıza bilgi verin. Sunucu loglarını isteyin, özellikle enfeksiyon tarihindeki erişim kayıtlarını. Bu loglar saldırının hangi eklentiden veya hangi IP’den geldiğini gösterir. Aynı sunucuda başka siteleriniz varsa onların da kontrol edilmesi gerekir.
5. Enfeksiyon kapsamını belirleyin. Hangi dosyalar değişmiş, hangi kullanıcılar eklenmiş, veritabanında ne var? Temizliğe başlamadan önce haritayı çıkarın. Wordfence taraması bu adımda en faydalı araçtır.
6. Bakım modunu değerlendirin. Phishing sayfaları veya aktif zararlı yazılım dağıtımı varsa, temizlik bitene kadar siteyi bakım moduna almak ziyaretçileri korur ve Google’ın daha fazla zararlı sayfa taramasını engeller. Sadece SEO spam varsa bu adım gereksizdir.

Kesinlikle Yapmayın

Yapmayın	Neden
Yedek almadan eklenti/tema silmek	Sildiğiniz dosyalar enfeksiyonun nasıl girdiğine dair tek kanıt olabilir. Ayrıca yanlış dosya silerseniz site tamamen açılmaz hale gelir.
Panikle WordPress’i sıfırdan kurmak	İçeriğinizi kaybedersiniz, üstelik enfeksiyon veritabanında veya uploads klasöründeyse yeni kurulum da anında enfekte olur.
Sadece görünen kodu silip bitti sanmak	Arka kapı kalırsa site birkaç gün içinde tekrar bozulur. Temizlik, arka kapılar bulunmadan tamamlanmış sayılmaz.
Eski bir yedeği geri yükleyip orada bırakmak	Enfeksiyon o yedekten önce başlamış olabilir. Ayrıca giriş açığı hâlâ kapanmadığı için saldırgan aynı yoldan tekrar girer.
Google’a hemen inceleme talebi göndermek	Site temizlenmeden yapılan talep reddedilir. Reddedilen talepler sonraki incelemelerin süresini uzatır.
Şüpheli admin hesabını hemen silmek	Kayıt tarihi ve e-posta adresi, saldırının zamanını ve yöntemini gösterir. Önce not alın, sonra silin.
wp-config.php dosyasını rastgele düzenlemek	Bu dosyadaki bir hata siteyi tamamen erişilemez yapar. Düzenlemeden önce mutlaka kopyasını alın.

Temizlik: Kendiniz mi, Uzman mı?

Her hacklenme profesyonel müdahale gerektirmez. Aşağıdaki tablo dürüst bir değerlendirme sunar.

Durum	Kendiniz	Uzman gerekir
Tek bir eklentiden gelen basit spam, panele erişim var	✅
Sitede e-ticaret / müşteri verisi var		✅
Panele giriş yapamıyorsunuz		✅
Temiz ve güncel bir yedeğiniz var (7 günden yeni)	✅
Google kara listesine girdiniz		✅
Bir kez temizlendi, tekrar enfekte oldu		✅
Phishing sayfaları tespit edildi		✅
FTP ve veritabanı yönetimini biliyorsunuz	✅
Aynı sunucuda birden fazla site var		✅
Hosting firması hesabı askıya aldı		✅
Sadece yeni bir admin hesabı var, başka belirti yok	✅
Site ticari gelir üretiyor, kesinti maliyetli		✅

Kendiniz denemeye karar verirseniz sıra şudur: yedek al, WordPress çekirdeğini yeniden yükle, tüm eklenti ve temaları temiz kopyalarıyla değiştir, uploads klasöründeki .php dosyalarını temizle, .htaccess ve wp-config.php dosyalarını incele, veritabanında şüpheli içerik ara, şifreleri ve güvenlik anahtarlarını yenile, tekrar tara.

Yarım kalan bir temizlik, hiç yapılmamış temizlikten daha maliyetlidir; çünkü hem zaman kaybedersiniz hem de saldırgan izlerini derinleştirir. Emin değilseniz durumu birlikte değerlendirelim. Çoğu vakada ilk bakış ücretsizdir ve en azından ne ile karşı karşıya olduğunuzu netleştirir.

Google Uyarısını Kaldırma

Siteniz kara listeye girdiyse temizlik tek başına yeterli değil; Google’a yeniden inceleme talebi göndermeniz gerekir.

1. Önce gerçekten temizleyin. Bu adım atlanamaz. Google ikinci kez reddederse bekleme süresi uzar ve inceleme kuyruğunda daha arkaya düşersiniz.

2. Search Console’da Güvenlik Sorunları raporunu açın. Güvenlik ve Manuel İşlemler bölümündeki Güvenlik Sorunları sekmesine gidin. Google burada tespit ettiği sorun türünü ve örnek URL’leri listeler.

3. Örnek URL’leri tek tek doğrulayın. Google’ın gösterdiği her URL’yi kendiniz açın ve temiz olduğundan emin olun. Tek bir sayfa bile kirliyse talep reddedilir.

4. “Yeniden İnceleme İste” butonuna basın. Bu buton yalnızca aktif bir güvenlik sorunu varken görünür.

5. Açıklama metnini doğru yazın. Bu kutuya şu üç şeyi yazın: (a) enfeksiyonun ne olduğu ve nasıl girdiği, (b) hangi adımları uyguladığınız (dosya temizliği, şifre yenileme, güncellemeler), (c) tekrarını önlemek için aldığınız kalıcı önlemler. Somut ve kısa yazın; “temizledim, kaldırın” tarzı tek cümlelik talepler genellikle reddedilir.

6. Sonucu bekleyin. Zararlı yazılım vakalarında inceleme genellikle 1-3 gün, aldatıcı içerik (phishing) vakalarında birkaç saat ile 1 gün arasında sonuçlanır. Onay geldiğinde uyarı tarayıcılardan kalkar, ancak bazı tarayıcı önbelleklerinde birkaç saat daha görünebilir.

7. Reddedilirse paniklemeyin. Google reddederse genellikle hangi URL’nin hâlâ kirli olduğunu söyler. Bu bilgi, gözden kaçan arka kapıyı bulmanızı sağlar.

Kara liste dönemi trafik açısından acı verici olsa da kalıcı hasar değildir. Temizlik ve onay sonrasında sıralamalar çoğu vakada birkaç hafta içinde eski seviyesine döner.

Tekrar Hacklenmemek İçin

Temizlik sonrası en kritik dönem ilk iki haftadır. Şu önlemleri hemen alın:

• WordPress çekirdeği, tema ve eklentileri güncel tutun. Enfeksiyonların büyük bölümü, yaması aylar önce yayınlanmış bilinen bir açıktan girer.
• Kullanılmayan eklenti ve temaları silin, devre dışı bırakmakla yetinmeyin. Pasif dosyalar da çalıştırılabilir.
• Tüm yönetici hesaplarına iki adımlı doğrulama (2FA) ekleyin. Şifre çalınsa bile giriş engellenir.
• Nulled (kırılmış) tema ve eklenti kullanmayın. Bu dosyaların büyük çoğunluğu arka kapı barındırır.
• Otomatik yedekleme kurun ve yedekleri site dışında saklayın. Aynı sunucuda duran yedek, sunucu ele geçirildiğinde birlikte kaybolur.
• uploads klasöründe PHP çalıştırmayı sunucu seviyesinde kapatın. Yüklenen dosyalar üzerinden gelen saldırıların çoğunu tek başına engeller.
• Giriş denemelerini sınırlayan bir güvenlik eklentisi kullanın. Kaba kuvvet saldırıları en yaygın giriş yöntemidir.
• Yönetici hesaplarını gözden geçirin. Gerçekten yönetici olması gerekmeyen kullanıcıları editör veya yazar rolüne düşürün.

Bu önlemlerin her biri ayrı bir uzmanlık alanı. Hangi güvenlik eklentisinin gerçekten işe yaradığını güvenlik eklentileri karşılaştırmasında, otomatik yedeklemeyi doğru kurmayı ise WordPress yedekleme rehberinde adım adım ele aldım.

Sıkça Sorulan Sorular

Hacklenme korkutucu bir andır, ama doğru sırayla ilerlendiğinde çoğu site kurtarılır. Önce teşhis, sonra yedek ve kanıt koruma, ardından temizlik ve sertleştirme. Bu süreçte acil temizlik gerekiyorsa, dosya ve veritabanı düzeyinde profesyonel müdahaleyi birlikte planlayabiliriz.

Bu yazıları da okumak isteyebilirsiniz ...

WordPress Güvenliği: Sitenizi Baştan Sona Koruma Rehberi

WordPress Yedekleme: Doğru Strateji, Eklentiler ve Geri Yükleme Rehberi

WordPress Güvenlik Eklentileri Karşılaştırması: Hangisi Size Uygun?

Başarılı Dijital Projelerin Temeli: Etkili Bir Yaratıcı Brief Nasıl Yazılır?