WordPress Virüs Temizleme: Adım Adım Rehber

WordPress sitesindeki "virüs", çoğunlukla açığı olan bir eklenti ya da tema üzerinden sisteme yerleşen kötü amaçlı koddur. Temizlik sırası şöyledir:

1. Sitenin kopyasını alın ve tüm parolaları değiştirin.
2. WordPress çekirdeğini, eklentileri ve temaları temiz kopyalarla değiştirin.
3. uploads klasöründe ve veritabanında gizlenmiş kodu bulun.
4. Tanımadığınız yönetici hesaplarını silin ve güvenlik anahtarlarını yenileyin. Son olarak açığın kaynağını (genellikle güncellenmemiş ya da korsan bir eklenti) kapatmadan temizlik kalıcı olmaz.

Sitenize virüs bulaştığını nasıl anlarsınız?

• Ziyaretçiler, özellikle mobilden ya da Google'dan gelince, alakasız sitelere yönlendiriliyor.
• Google arama sonuçlarında sitenizin altında "Bu site saldırıya uğramış olabilir" uyarısı ya da tarayıcıda kırmızı uyarı ekranı çıkıyor.
• Search Console'da Güvenlik sorunları raporunda uyarı var.
• Google'da site:alanadiniz.com araması, sizin yazmadığınız sayfalar gösteriyor (kumar, ilaç, Japonca ya da Çince içerik).
• Yönetim panelinde tanımadığınız yönetici kullanıcılar var.
• Hosting sağlayıcınızdan zararlı dosya ya da yoğun e-posta gönderimi uyarısı geldi.
• Site birden yavaşladı ya da sunucu kaynakları sürekli sınırda.

Temizlikten önce: 3 hazırlık adımı

1. Mevcut hâlin kopyasını alın. Dosyaların ve veritabanının şu anki hâlini indirin. Virüslü de olsa elinizde bir kopya olsun; temizlik sırasında yanlışlıkla silinen bir içeriği geri almak için gerekir. Bu kopyayı başka sitelere yüklemeyin.
2. Tüm parolaları değiştirin. Hosting paneli, FTP/SFTP hesapları, veritabanı kullanıcısı ve tüm WordPress yönetici hesapları. Saldırgan parolalarınızdan birini ele geçirmiş olabilir. Temizlik bittiğinde parolaları bir kez daha değiştirin.
3. Gerekirse siteyi bakım moduna alın. Ziyaretçileri zararlı yönlendirmeden korur.

Adım adım WordPress virüs temizleme

1. Tarama yapın ve neyle uğraştığınızı görün

Bir güvenlik eklentisiyle tarama yapın; örneğin Wordfence Security ya da Sucuri Security'nin ücretsiz sürümleri. Tarama, değiştirilmiş çekirdek dosyalarını, bilinen zararlı kod kalıplarını ve şüpheli dosyaları listeler.

Yönetim paneline giremiyorsanız ve sunucuda WP-CLI varsa:

wp core verify-checksums
wp plugin verify-checksums --all

Bu komutlar, WordPress çekirdeği ve WordPress.org'daki eklentilerin dosyalarını resmi kopyalarla karşılaştırır. Değiştirilmiş dosyaları gösterir.

2. WordPress çekirdeğini temiz kopyayla değiştirin

wp-admin ve wp-includes klasörlerini silip WordPress.org'dan indirdiğiniz aynı sürümün temiz kopyasıyla değiştirin. WP-CLI ile:

wp core download --force --skip-content

wp-content klasörüne ve wp-config.php dosyasına bu adımda dokunulmaz.

3. Eklenti ve temaları yeniden yükleyin

• Kullanmadığınız tüm eklenti ve temaları silin. Devre dışı bırakmak yetmez; dosyaları sunucuda durur.
• Kullandıklarınızı silip resmi kaynaktan (WordPress.org ya da satın aldığınız geliştiricinin sitesi) en güncel sürümle yeniden yükleyin.
• Korsan (nulled) tema ya da eklenti kullanıyorsanız kaldırın. Bu dosyalar genellikle içine gizli arka kapı yerleştirilmiş olarak dağıtılır. Siteyi defalarca temizleseniz de virüs geri gelir.

4. uploads klasöründe PHP dosyası arayın

wp-content/uploads klasörü görseller içindir. Burada PHP dosyası olmamalıdır. Dosya yöneticisinde arayın ya da SSH ile:

find wp-content/uploads -name "*.php"

Bulunan PHP dosyalarını inceleyip silin. Ayrıca kök dizinde ve wp-content içinde, adı WordPress dosyalarına benzeyen ama tanımadığınız dosyalara bakın (wp-confg.php, wp-login1.php gibi).

5. .htaccess ve wp-config.php dosyalarını kontrol edin

• .htaccess: Yabancı alan adlarına yönlendiren RewriteRule satırları sık görülür. WordPress'in standart kurallarından fazlasını tanımıyorsanız dosyayı yeniden oluşturun (Ayarlar → Kalıcı Bağlantılar → Kaydet).
• wp-config.php: Dosyanın başında ya da sonunda eval, base64_decode ya da uzun anlamsız karakter dizileri varsa temizleyin.

6. Veritabanını kontrol edin

phpMyAdmin'de ya da WP-CLI ile:

• wp_options tablosunda siteurl ve home değerleri sizin alan adınız mı?
• wp_posts tablosunda yazıların içine eklenmiş <script etiketleri var mı? Arama: SELECT ID, post_title FROM wp_posts WHERE post_content LIKE '%<script%';
• Tablo öneki farklıysa (wp_ yerine) sorguyu ona göre değiştirin.

7. Kullanıcıları ve güvenlik anahtarlarını temizleyin

• Kullanıcılar → Tüm Kullanıcılar'da (ya da wp user list --role=administrator) tanımadığınız yöneticileri silin.
• wp-config.php içindeki güvenlik anahtarlarını (salts) yenileyin. Böylece açık kalan tüm oturumlar kapanır.
• WP-CLI ile: wp config shuffle-salts.
• Elle: anahtarları https://api.wordpress.org/secret-key/1.1/salt/ adresinden alıp eskilerinin yerine yapıştırın.

8. Google'a temizlendiğini bildirin

Search Console'da Güvenlik sorunları raporu uyarı gösteriyorsa, temizlik bittikten sonra İnceleme iste düğmesiyle neyi düzelttiğinizi yazın. İnceleme sonuçlanınca uyarı kalkar.

Tekrar bulaşmasını nasıl önlersiniz?

Sık sorulan sorular

WordPress sitemde virüs olduğunu nasıl anlarım?

Ziyaretçilerin başka sitelere yönlendirilmesi, Google'da "Bu site saldırıya uğramış olabilir" uyarısı, tanımadığınız yönetici kullanıcılar ve site: aramasında sizin yazmadığınız sayfalar en sık belirtilerdir.

WordPress virüs temizleme eklentisi yeterli mi?

Tarama eklentileri sorunu bulmakta işe yarar, ama tek başına yeterli değildir. Çekirdek dosyaları ve eklentileri temiz kopyayla değiştirmek, uploads klasörünü ve veritabanını kontrol etmek, parolaları ve güvenlik anahtarlarını yenilemek gerekir.

Virüs temizledikten sonra neden geri geliyor?

Genellikle açığın kaynağı kapatılmamıştır. En sık nedenler: güncellenmemiş eklenti, korsan (nulled) tema ya da eklenti, ele geçirilmiş ama değiştirilmemiş bir parola ya da gözden kaçan bir arka kapı dosyası.

Google'daki "Bu site saldırıya uğramış olabilir" uyarısı nasıl kalkar?

Siteyi temizledikten sonra Search Console'daki Güvenlik sorunları raporundan inceleme isteyin. Google temizliği doğrulayınca uyarıyı kaldırır.

Nulled tema kullanmak neden tehlikeli?

Korsan dağıtılan tema ve eklentilere çoğunlukla gizli kod eklenir. Bu kod siteye arka kapı açar, spam bağlantı ekler ya da ziyaretçileri yönlendirir. Ayrıca güncelleme almazlar.

WordPress güvenliği için en önemli adım nedir?

WordPress çekirdeğini, eklentileri ve temaları güncel tutmak. Saldırıların büyük kısmı, yaması yayınlanmış ama uygulanmamış açıklardan yapılır.