WordPress Hacklendi — Ne Yapmalı? Adım Adım Kurtarma Rehberi

Sitenizin hacklendiğini fark ettiğiniz an içgüdüsel tepki genelde aynı olur: hemen dosyaları silmek, eklentileri kaldırmak, bir şeyleri "temizlemeye" çalışmak. Bu, durumu çoğu zaman daha kötü yapar — hem saldırının izlerini yok edersiniz hem de arka kapıyı kaçırırsınız. Aşağıdaki sıra, kaybı en aza indirecek şekilde düzenlenmiştir.

1. Önce izole edin, silmeyin

İlk hedef zararı durdurmaktır, temizlik değil. Siteyi bakım moduna alın ya da sunucu seviyesinde erişimi kapatın. Ziyaretçileriniz zararlı koda maruz kalmasın, arama motoru sitenizi "zararlı" olarak işaretlemesin.

• Siteyi geçici olarak kapatın (bakım sayfası veya sunucu düzeyinde erişim kısıtı).
• Tüm yönetici oturumlarını sonlandırın ve şifreleri değiştirin — panel, FTP, veritabanı ve hosting hesabı dahil.
• Ödeme alan bir siteyse ödeme sağlayıcınızı bilgilendirin.

2. Mevcut hâlin adli kopyasını alın

Kulağa aşırı gelebilir ama şart: hacklenmiş hâliyle bir yedek alın ve ayrı bir yere koyun. Bu kopya iki işe yarar — açığı analiz etmenizi sağlar ve temizlik sırasında yanlışlıkla sildiğiniz meşru bir dosyayı geri almanıza imkân verir. Bu yedeği asla canlıya geri yüklemeyin, yalnızca inceleme içindir.

3. Ne zaman girdiğini tespit edin

Temiz yedeğe dönebilmek için saldırının tarihini bilmeniz gerekir. Yoksa zararlı kodu da içeren bir yedeği geri yükleyip aynı noktaya dönersiniz. Bakılacak yerler:

• Dosya değişiklik tarihleri: son değiştirilen dosyaları listeleyin; beklenmedik bir tarihte değişen çekirdek dosyalar ilk ipucudur.
• Sunucu erişim kayıtları: şüpheli POST istekleri, tanımadığınız IP'lerden gelen yönetici girişleri.
• Yeni kullanıcılar: sizin oluşturmadığınız yönetici hesapları.
• Zamanlanmış görevler: saldırganlar kalıcılık için cron kaydı bırakır.

4. Saldırı tarihinden ÖNCEKİ temiz yedeğe dönün

Elinizde tarih varsa yapılacak şey nettir: o tarihten önceki bir yedeğe geri dönün. Burada iki şey kritiktir.

Birincisi, yedeğin gerçekten temiz olduğundan emin olmanız gerekir. Saldırı çoğu zaman fark edilmeden haftalar önce başlar; "dünkü yedek" de zararlı kod içeriyor olabilir. Yedeklerinizde zararlı kod taraması yapılıyorsa hangi yedeğin temiz olduğunu bilirsiniz — bu, tahmin etmekle bilmek arasındaki farktır.

İkincisi, geri yükleme veri kaybı demektir: yedek tarihinden sonra gelen siparişler, üyelikler ve yorumlar gider. Bu yüzden geri yüklemeden önce mevcut veritabanından sipariş gibi kritik kayıtları dışa aktarmayı değerlendirin.

5. Açığı kapatın — yoksa tekrar olur

Temiz yedeğe dönmek sadece sonucu ortadan kaldırır; sebebi duruyorsa saldırgan aynı kapıdan tekrar girer. En sık görülen giriş yolları:

• Güncellenmemiş eklenti/tema: bilinen açıkların otomatik taranmasıyla girilir. En yaygın sebep budur.
• Zayıf yönetici şifresi: kaba kuvvet denemeleriyle kırılır.
• Terk edilmiş eklentiler: yıllardır güncellenmeyen bir eklenti, açık bir kapıdır.
• Paylaşımlı hosting komşuluğu: aynı sunucudaki başka bir sitenin ele geçirilmesi.

Geri yükleme sonrası ilk iş: tüm çekirdek, tema ve eklentileri güncelleyin, kullanılmayanları silin (devre dışı bırakmak yetmez, dosyalar durduğu sürece istismar edilebilir), tüm şifreleri yenileyin ve iki adımlı doğrulamayı açın.

6. Temizlendiğini doğrulayın

Site açıldı diye iş bitmez. Arka kapılar genelde sessizdir. Yeni yedeklerinizi zararlı kod taramasından geçirin, yönetici hesaplarını ve zamanlanmış görevleri tekrar gözden geçirin. Arama motoruna "zararlı site" olarak işaretlendiyseniz yeniden inceleme talebi gönderin.

Yapmamanız gerekenler

• Fidye ödemeyin. Ödeme, verinin geri geleceğini garanti etmez ve sizi tekrar hedef hâline getirir.
• Sadece görünen dosyayı silmeyin. Arka kapı neredeyse her zaman başka bir yerdedir.
• Aynı şifreleri yeniden kullanmayın. Saldırgan zaten elde etmiş olabilir.
• Tek yedeğinizin üzerine yazmayın. Panikle alınan yeni bir yedek, elinizdeki temiz kopyayı ezebilir.

Sık Sorulan Sorular