WordPress Eklenti Açıklarını Kontrol Etme: WP-CLI, WPScan

Bu makale, Japonca orijinalin yerelleştirilmiş sürümüdür. Japonca orijinali oku

Eklenti açıklarında, açığın yayımlanmasıyla saldırıların başlaması arasındaki süre kısa olabilir. Temel yöntem şu döngüyü düzenli olarak işletmektir: kurulu eklentileri ve sürümlerini öğrenmek, bilinen açıklarla karşılaştırmak, düzeltilmiş sürüm varsa güncellemek. Bu yazıda sırasıyla WP-CLI ile sürümlerin kontrolü, WPScan ile eşleştirme, açık veritabanlarının okunması, kurcalama kontrolü ve açık bulunduğunda yapılacaklar anlatılır. Komutlar ve ücret koşulları, Kasım 2026 itibarıyla ilgili resmî belgelerden doğrulanmıştır.

1. Kurulu eklentileri ve sürümlerini listeleyin

Önce hangi eklentinin hangi sürümle kurulu olduğunu öğrenin. Yönetim ekranında "Eklentiler → Yüklü Eklentiler" (Plugins → Installed Plugins) bölümünden de görülebilir, ancak WP-CLI ile listeyi kaydedebilirsiniz.

# Ad, sürüm, etkin/devre dışı durumu ve güncelleme olup olmadığını göster
wp plugin list --fields=name,version,status,update

# Yalnızca güncellemesi olanları göster
wp plugin list --update=available

# Kayıt için JSON olarak kaydet
wp plugin list --fields=name,version,status --format=json > plugins.json

Devre dışı eklentiler de listede görünür. Devre dışı olsa bile dosyaları sunucuda durur ve açığı olan dosyalara doğrudan erişilebilir; bu yüzden kullanmadıklarınızı silin. WP-CLI'nin temelleri "WP-CLI ile eklentileri yönetme" yazısında anlatılmaktadır.

2. WPScan ile bilinen açıklarla eşleştirin

WPScan, WordPress sitelerini dışarıdan inceleyen bir komut satırı aracıdır. Açık bilgilerini WPScan API'sinden aldığı için wpscan.com'da bir hesap açıp API belirteci (token) oluşturarak kullanırsınız.

WPScan'in fiyat sayfasına göre ücretsiz plan yalnızca ticari olmayan kullanımla sınırlıdır ve API çağrıları günde 25 ile sınırlıdır. İş amaçlı sitelerde kullanacaksanız ücretli lisans gerekir. API belirteci olmadan da çalışır, ancak o durumda açık bilgileri gösterilmez.

# Kurulum (Ruby gem ile kuruyorsanız)
gem install wpscan

# Docker ile kullanacaksanız
docker pull wpscanteam/wpscan

# Açığı bildirilmiş eklentileri araştır
wpscan --url https://example.com --api-token YOUR_API_TOKEN -e vp

# Tespit yöntemini passive ve aggressive olarak birlikte kullan
wpscan --url https://example.com --api-token YOUR_API_TOKEN -e vp --plugins-detection mixed

-e için başlıca değerler şunlardır.

Eklenti tespiti varsayılan olarak sayfanın HTML'i gibi yerlerden okuyan passive yöntemdir. HTML'de iz bırakmayan eklentiler bulunamayabilir; aggressive veya mixed belirtirseniz tespit artar, ancak istek sayısı da artar.

WPScan ile yalnızca kendi yönettiğiniz siteleri veya izin aldığınız siteleri tarayın. Kullanımın ayrıntıları için "WPScan ile sitenin açıklarını tarama" yazısına da bakabilirsiniz.

3. Açık veritabanlarında içeriği doğrulayın

WPScan sonuçlarında veya güvenlik haberlerinde adı geçen eklentilerin ayrıntılarını aşağıdaki veritabanlarında kontrol edin.

• WPScan Vulnerability Database (wpscan.com)
• Wordfence Intelligence (wordfence.com)
• Patchstack Database (patchstack.com)
• NVD (nvd.nist.gov, CVE numarasıyla arama)

Bakılması gereken alanlar şunlardır.

Önce oturum açmadan istismar edilebilenlere ve önem derecesi yüksek olanlara müdahale edin. Abone yetkisiyle istismar edilebilenler, kullanıcı kaydı kabul eden sitelerde (üyelik siteleri, mağazalar vb.) acildir.

4. Dosyaların kurcalanıp kurcalanmadığını kontrol edin

Açığın istismar edilmiş olma ihtimali varsa dosyaların dağıtıldığı haliyle durup durmadığını kontrol edin. WP-CLI'nin verify-checksums komutu, WordPress.org'un yayımladığı sağlama toplamlarını (checksum) dosyalarla karşılaştırır.

# Tüm eklentileri denetle
wp plugin verify-checksums --all

# Yalnızca belirli bir eklentiyi denetle
wp plugin verify-checksums contact-form-7

# WordPress çekirdek dosyalarını denetle
wp core verify-checksums

Sorun yoksa Success: Verified 8 of 8 plugins. gibi bir çıktı görünür. Eklenmiş dosyalar veya içeriği farklı dosyalar varsa bunların listesi gösterilir.

WordPress.org'da dağıtılmayan ücretli eklentilerin sağlama toplamı olmadığından bu yöntemle denetlenemez. Bu durumda aynı sürümü dağıtıcıdan indirip dosyaları karşılaştırın.

5. Açık bulunduğunda yapılacaklar

# Düzeltilmiş sürüm varsa: güncelle
wp plugin update contact-form-7

# Düzeltilmiş sürüm yoksa: devre dışı bırak, kullanmayacaksan sil
wp plugin deactivate vulnerable-plugin
wp plugin delete vulnerable-plugin

# Toplu güncellemeden önce nelerin güncelleneceğini kontrol et
wp plugin update --all --dry-run

vulnerable-plugin bir örnektir. Gerçek slug ile (wp plugin list çıktısındaki name sütunu) değiştirin.

• Güncellemeden önce yedek alın, güncellemeden sonra ana ekranların (iletişim formu, ödeme vb.) çalıştığını doğrulayın.
• Düzeltilmiş sürüm çıkmayan ve geliştirilmesi durmuş eklentilerde, aynı işi yapan başka bir eklentiye geçmeyi düşünün. WordPress.org'da dağıtımı durdurulan eklentilerin sayfasında durdurulduğuna dair bir uyarı görünür.
• Kurcalanma izleri varsa yalnızca güncelleme yetmez. Eklenen yönetici kullanıcıları, uploads içine bırakılmış PHP dosyalarını, wp-config.php değişikliklerini de kontrol edin ve gerekirse yedekten geri dönün.

6. Kontrolü alışkanlık haline getirin

• Yönetim ekranındaki "Eklentiler" (Plugins) bölümünden eklenti başına otomatik güncellemeyi etkinleştirebilirsiniz (WordPress 5.5 ve sonrası). Güncellemeyle görünümün bozulma ihtimali düşük olan eklentilerle başlayın. Ayrıntılar için "Eklentilerde otomatik güncelleme ayarlama" yazısına bakın.
• WPScan'i cron ile düzenli çalıştıracaksanız, ücretsiz kotanın günde 25 çağrı olduğuna ve ticari olmayan kullanım koşuluna dikkat edin.
• Güvenlik eklentisi Wordfence de taramada güncellenmesi gereken eklentiler gibi durumları bildirir. Kullanımı "Wordfence ile siteyi tarama" yazısında anlatılmaktadır.

Özet

Eklenti açıklarının kontrolü şu sırayla ilerler: liste çıkarmak (wp plugin list), bilinen açıklarla eşleştirmek (WPScan veya açık veritabanları), kurcalanmayı kontrol etmek (wp plugin verify-checksums), güncelleme veya silmeyle müdahale etmek. Kullanmadığınız eklentileri silmek, en az emek isteyen önlemdir.

WordPress hakkında sorunuz mu var? Bu sitenin yayıncısı Japonya'dadır ve Japonca yanıt verir. İletişim (Japonca)