İçeriğe geç
Emir Hoca.

WordPress siteleri için Ekim 2026 kontrolü: PHP yamaları ve 7.1.4

Ekim'de hem PHP'de kritik açıklar kapatıldı hem de WordPress 7.1.4 güvenlik düzeltmeleriyle çıktı. Biri sunucuda, biri WordPress'te; ikisini de kontrol edin.

2 dk okuma

Ekim'in son iki haftasında WordPress sitelerini ilgilendiren iki ayrı güvenlik güncellemesi çıktı. 21 Ekim 2026'da PHP projesi iki kritik açık duyurdu, 28 Ekim'de de WordPress 7.1.4 birden fazla güvenlik düzeltmesiyle yayımlandı. Biri sunucu tarafında, diğeri WordPress'in kendisinde. Eklentileri güncel tutmak bu ikisini kapsamıyor, bu yüzden ayrı ayrı kontrol etmek gerekiyor.

PHP tarafında ne oldu?

PHP projesi, kimlik doğrulaması gerekmeden uzaktan kod çalıştırmaya izin verebilen iki kritik açık duyurdu (PHP, 21 Ekim 2026). Düzeltilmiş sürümler 8.5.12, 8.4.27, 8.3.36 ve 8.2.35. PHP ekibine göre etkilenenler web isteği sunan PHP kurulumları ve tam çözüm yalnızca güncelleme.

WordPress.org aynı gün bu açıkların WordPress'e özgü olmadığını ve bunlar için ayrı bir WordPress güncellemesi planlanmadığını açıkladı (WordPress.org, 21 Ekim 2026). Kısacası WordPress'i güncellemek bu sorunu çözmüyor; sunucudaki PHP'nin güncellenmesi gerekiyor. Paylaşımlı ya da yönetilen hosting kullanıyorsanız bu genellikle hosting firmasının işi.

Bir uyarı ekleyeyim. Bazı Linux dağıtımları ve yönetilen hosting firmaları güvenlik yamalarını farklı paket sürüm numaralarıyla geriye taşıyabiliyor. Panelde gördüğünüz sürüm numarası yukarıdakilerden farklıysa, bu tek başına sitenizin açık olduğu anlamına gelmez. En sağlam yol hosting firmasından yazılı teyit almak.

WordPress 7.1.4'te ne var?

WordPress 7.1.4, 28 Ekim 2026'da yayımlandı ve sitelerin hemen güncellenmesi önerildi (WordPress.org, 28 Ekim 2026). Düzeltmeler arasında güncelleme penceresinde uzaktan kod çalıştırmaya yol açabilen bir zayıflık ve birden çok stored XSS sorunu var. Stored XSS, siteye kaydedilen zararlı bir kodun, o sayfayı açan başka kullanıcıların tarayıcısında çalışması demek.

Otomatik çekirdek güncellemeleri açıksa siteniz büyük ihtimalle kendini güncellemiştir. Yine de bunu varsaymak yerine Pano'daki sürüm numarasına bakmanızı öneririm.

Bu hafta yapılacaklar

  1. WordPress'te Araçlar > Site Sağlığı > Bilgi > Sunucu bölümünden PHP sürümünü not edin.
  2. Hosting firmanızdan Ekim'deki iki PHP açığının sunucunuzda yamalanıp yamalanmadığını teyit edin.
  3. Yedek aldıktan ve staging ortamında denedikten sonra WordPress çekirdeğini 7.1.4 ya da daha yeni güvenli bir sürüme güncelleyin.
  4. Güncellemeden sonra yönetici girişini, formları, ödemeyi, e-posta gönderimini ve zamanlanmış görevleri deneyin.
  5. WAF kayıtlarını, yönetici hesaplarını ve son dosya değişikliklerini şüpheli bir hareket için gözden geçirin.

Son adım, yamalar gelmeden önce bir şey olup olmadığını anlamak için. Tanımadığınız bir yönetici hesabı ya da sizin yapmadığınız bir dosya değişikliği görürseniz, güncellemeyle yetinmeyip siteyi ayrıca incelemek gerekir.

Hosting firmasına ne sormalı?

"PHP güncel mi?" diye sormak genellikle "evet" cevabıyla kapanır ve size bir şey anlatmaz. Daha net bir soru sorun: "21 Ekim 2026'da duyurulan iki kritik PHP açığı, sitemin çalıştığı sunucuda yamalandı mı? Hangi PHP sürümü ya da paket sürümüyle?" Yönetilen hosting kullanıyorsanız, firma büyük ihtimalle bunu bir duyuruyla bildirmiştir; o duyurunun bağlantısını isteyin ve kayıtlarınızda saklayın.

Kendi VPS'inizde ya da bir geliştiricinin kurduğu sunucuda çalışıyorsanız, bu sorunun muhatabı o kişidir. Bu durumda PHP güncellemesinden sonra sitenin açıldığını, formların ve ödemenin çalıştığını birlikte kontrol etmeniz gerekir.

Hosting firmanızla bu konuyu konuşurken teknik tarafta destek isterseniz buradan ulaşabilirsiniz.

Kaynaklar