En Hassas WordPress Eklentileri

Tamamen ölçeklenebilirliği, kullanıcı dostu olması ve mevcut tüm üçüncü taraf temaları ve eklentileri sayesinde, WordPress web’deki en popüler CMS olmayı başardı. Bu yüzden birçok saygın marka ve şirketin web sitelerini güçlendirmek için WordPress kullanması şaşırtıcı değil. Ne yazık ki, bu platformun popülaritesi aynı zamanda bilgisayar korsanlarının hedefi haline gelmesinin de nedeni. Ve bazı WordPress güvenlik açığı istatistiklerine göre, bu saldırıların çoğu savunmasız WordPress eklentilerini kullanmaktan geliyor.

Paradoksal olarak genellikle bu hacker saldırılarına karşı en duyarlı olma eğiliminde olan en popüler eklentilerdir. Bu eklentilerin bazılarının sahip olabileceği farklı güvenlik açıklarının farkında olmanız da önemlidir. Daha sonra eklentilerinizi daha güvenli hale getirmek için güncelleyebilir veya bir güvenlik yaması yayınlanana kadar silebilir/devre dışı bırakabilirsiniz. Bunu yaparak, eklenti güvenlik açıklarının WordPress sitenizde herhangi bir olumsuz etkiye neden olmasını önleyebilirsiniz.

Bunu sizin için kolaylaştırmak için, çok da uzak olmayan bir geçmişte güvenlik açığı sorunları yaşayan WordPress eklentilerinin bir listesini toplamaya karar verdik. Bu liste, sitenizi bir bütün olarak daha güvenli hale getirmeye yönelik önemli adımlar atabilmeniz için olası risklere karşı daha dikkatli olmanıza yardımcı olacaktır.

Hatta ilk etapta bu eklenti güvenlik açıklarının nasıl ve neden oluştuğundan bahsedeceğiz ve bu güvenlik açıkları nedeniyle meydana gelebilecek en yaygın saldırı türlerinden bazılarına değineceğiz. Son olarak sitenizin maksimum güvenliğini sağlamak için uygulayabileceğiniz en iyi uygulamalardan bazılarını da paylaşacağız.

Biz ele alırken okumaya devam ettiğinizden emin olun:

• Bir WordPress Eklentisi Nasıl Savunmasız Hale Gelir?

• En Savunmasız WordPress Eklentilerinin Listesi

• Sitenizi WordPress Eklenti Güvenlik Açıklarına Karşı Korumak İçin Ek İpuçları

Bir WordPress Eklentisi Nasıl Savunmasız Hale Gelir?

Çoğu eklenti geliştiricisi, ürünlerinin olabildiğince güvenli olduğundan emin olsa da, yeni sürümler sırasında, özellikle geliştiriciler belirli son teslim tarihlerini karşılamak için acele ettiklerinde, hala bazı güvenlik ihlalleri meydana gelebilir. Açıkçası, bu ihlaller bir eklentiyi farklı bilgisayar korsanlığı saldırılarına karşı daha savunmasız bırakabilir.

İşte en sık gerçekleşen bilgisayar korsanlığı saldırılarından bazıları:

• Siteler arası betik çalıştırma (XSS) – bu, en sık kullanılan saldırılardan biridir. Bir XSS saldırısı sırasında, bilgisayar korsanları kötü amaçlı kod enjekte eder ve ardından farklı bilgiler elde etmek için bu koddan yararlanır. Hatta spam bağlantıları eklemek, farklı içerik parçalarını silmek vb. için kendilerini belirli bir kullanıcı olarak maskeleyebilirler.

• Veri ifşa saldırıları – bu saldırılar, kişisel veya ticari veriler düzgün bir şekilde korunmadığında meydana gelir. Saldırganlar daha sonra bu kusurdan yararlanabilir.

• Bozuk kimlik doğrulama saldırıları – bu saldırılar sırasında bilgisayar korsanları, zayıf parolalar, görünür oturum kimlikleri vb. gibi güvenlik açıklarından yararlanır. Ardından yönetici erişimi elde edebilir ve farklı web sitesi verilerine erişmek için yönetici hesapları oluşturabilirler.

• Bilinmeyen ve kötü amaçlı site yönlendirmeleri – bilgisayar korsanları bunu, kullanıcıları başka bir siteye götüren kötü amaçlı kod enjekte ederek yapar. Bu tür siteler genellikle güvenli olmayan, yasa dışı veya basitçe spam olarak etiketlenebilen içerikle doludur.

Kısacası, yukarıda bahsettiğimiz gibi bazı bilgisayar korsanlığı saldırıları, diğer şeylerin yanı sıra sitenizin yüklenmesini yavaşlatarak bazı önemli ve hassas bilgileri istenmeyen taraflara ifşa ederek sitenize ciddi zararlar verebilir. Google güvenli olmayan web sitelerine değer vermez, dolayısıyla tüm bunlar arama motoru görünürlüğünüzü ve bir bütün olarak marka itibarınızı tehlikeye atabilir.

En Savunmasız WordPress Eklentilerinin Listesi

Şimdi, en savunmasız WordPress eklentilerinden bazılarının farkına vararak, yukarıda belirtilen sorunların çoğunun oluşmasını önlemeye çok iyi bir şekilde yardımcı olabilirsiniz. Bu bilgiler, hangi eklentilerin güvenlik açığı yamaları ve düzeltmeleri olduğunu öğrenmenize yardımcı olacaktır, böylece hangi eklentileri güncellemeniz gerektiğini bilebilecek ve gelecekteki olası güvenlik düzeltmelerini takip edebileceksiniz. O halde lafı daha fazla uzatmadan listemize geçelim.

WooCommerce

WordPress için en popüler açık kaynaklı e-Ticaret eklentisi olan WooCommerce’in gücü ve esnekliği inkar edilemez. Çok sayıda pratik uzantısı ve ürün ve envanterden nakliye ve ödemelere kadar her şeyi yönetme yeteneği ile WooCommerce, e-ticaret web siteleri için WordPress’i seçen çoğu kişinin doğal seçimidir.

Bununla birlikte WooCommerce maalesef bilgisayar korsanlığı saldırılarına karşı bağışık değildir. Bu eklenti, geçen yıl XSS saldırıları, dosya silme ve en yeni türlerden biri olan SQL enjeksiyonu gibi güvenlik açıklarından ve saldırılardan adil bir pay aldı. Şans eseri, tüm bu güvenlik açıkları, WooCommerce’in 5.2.2 sürümüyle birlikte gelen bir yama ile giderildi. Sitenizde WooCommerce’in bu veya daha yüksek bir sürümünü kullandığınızdan emin olun ve güvende olmalısınız.

Yoast SEO

5 milyondan fazla indirme ile Yoast SEO, piyasadaki en popüler SEO eklentilerinden biri olarak haklı olarak yerini almıştır. Bu durum web sitelerini arama motorları için optimize etme söz konusu olduğunda inkar edilemez etkinliği göz önüne alındığında özellikle doğrudur. Sayfa içi SEO söz konusu olduğunda birçok harika özelliğine rağmen Yoast, geçmişte bilinen bazı güvenlik açıklarına sahip olduğu için WordPress web sitelerine zarar verme potansiyeline sahiptir. En yaygın güvenlik açıklarından bazıları, siteler arası komut dosyası çalıştırma (XSS) saldırılarına karşı önceki duyarlılığını içerir. Fakat bu özel sorun yamalı sürüm (5.0.4) ile çözülmüştür. Bu yüzden Yoast SEO ile bu sorunu çözmek için eklentiyi 5.0.4 veya daha yüksek bir sürüme güncellemeniz gerekir.

İletişim Formu 7

WordPress topluluğunda, İletişim Formu 7, şu anda 5 milyondan fazla yükleme ile iletişim formu eklentileri arasında hemen hemen bir standart olarak kabul edilir. Bu HTML tabanlı eklentinin kullanımı tamamen ücretsizdir ve bir dizi önceden tanımlanmış alan, Ajax destekli ve CAPTCHA desteği, kullanıcılara e-posta gönderme ve birçok farklı bildirim mesajını özelleştirme ve daha fazlasıyla birlikte gelir.

Büyük popülaritesi göz önüne alındığında, İletişim Formu 7 ayrıca bilgisayar korsanlarının ortak hedefi olma eğilimindedir. Fakat aynı şekilde, İletişim Formu 7 geliştiricileri, kaydedilen yeni bir sorun olduğunda yama düzeltmelerini yayınlamak için ellerinden gelenin en iyisini yaparlar. Örneğin Aralık 2020’de 5 milyondan fazla sitede kritik bir güvenlik açığı tespit edildi. Bu güvenlik açığı, bilgisayar korsanlarının kötü amaçlı komut dosyaları yüklemesine izin verdi. Fakat neyse ki, eklenti yaratıcıları 5.3.2 sürümüyle bir düzeltme yayınladı. Eklentinin bu sürümünü veya daha üstünü kullanıyorsanız, WordPress siteniz bu sorundan etkilenmeyecektir.

W3 Toplam Önbellek

En iyi bilinen ve yaygın olarak kullanılan önbellek eklentilerinden biri olan W3 Total Cache, SEO’sunu ve bir bütün olarak kullanıcı deneyimini geliştirmeyi amaçlayan herhangi bir web sitesi için harika bir eklentidir. Bu eklenti, web sitesi performansını artırma ve sayfa yükleme sürelerini azaltma potansiyeline sahip özelliklere sahiptir ve sonuç olarak SERP’lerdeki sıralamayı yükseltir. Bu eklentiyle ilgili en son saldırılardan biri Haziran 2021’de gerçekleşti (XSS saldırıları). Geliştiriciler 2.1.3 sürümünde bir düzeltme oluşturdular. Fakat bizim önerimiz mümkün olan en yüksek güvenlik için W3 Total Cache’in (şu anda sürüm 2.2.1) mevcut en son sürümüne güncelleme yapmaktır.

PublishPress Yetenekleri

WordPress için kolayca en iyi kullanıcı yönetimi eklentilerinden biri olan PublishPress Capabilities, tüm kullanıcı yönetimini kolaylaştırmaya ve hatta WordPress sitenizde işbirliğine dayalı düzenlemeyi geliştirmeye yardımcı olacak bazı harika özelliklerle birlikte gelir. Mevcut kullanıcı rollerini düzenlemenin ve yönetmenin yanı sıra, yenilerini oluşturmanıza ve yönetmenize de olanak tanır.

Aralık 2021’de 2.0.0 ile 2.3.0 arasındaki eklenti sürümlerinde keşfedilen çok büyük bir güvenlik sorunu oldu. PublishPress ekibi, eklentiyi kullanan herkesi bir güncelleme yapmaya çağıran sürüm 2.3.1 ile hızlı bir şekilde bir düzeltme yayınladı.

Smash Balon Sosyal Gönderi Beslemesi

wp.org’da 200.000’den fazla yüklemeye sahip ücretsiz bir WordPress eklentisi olan Smash Balon Sosyal Mesaj Akışı, sitenizi sosyal medyaya bağlamak için harika bir eklentidir. WordPress sitenizde sınırsız Facebook beslemesi görüntülemenize izin vererek çalışır.

Ekim 2021’de bir siteler arası komut dosyası çalıştırma güvenlik açığı keşfedildi ve o zamandan beri bir 4.0.1 güncellemesiyle düzeltildi. Tabii ki, eklentiyi en son sürümüne güncellemenizi öneririz (şu an itibariyle sürüm 4.1.2’dir).

WordFence

WordPress.org’da 4 milyondan fazla aktif kurulumla WordFence, piyasadaki en güvenilir WordPress güvenlik eklentilerinden biridir. Tüm WordPress dosyalarınızı ve bir bütün olarak web sitesinin tamamını korumaya yönelik bazı harika güvenlik araçları ve özellikleriyle birlikte gelen bu eklenti, hem bir güvenlik duvarı eklentisi hem de bir kötü amaçlı yazılım tarayıcısıdır. Bununla birlikte WordFence ara sıra meydana gelen güvenlik açıklarına karşı duyarsız değildir. Bir örnek, 2019’da tespit edilen ve o zamandan beri düzgün bir şekilde yamalı olan bir XSS güvenlik açığı olabilir. Eklentinin en son sürümünü kullanıyorsanız, bu eklentinin kullanımı söz konusu olduğunda güvende olduğunuzdan emin olabilirsiniz.

Sitenizi WordPress Eklenti Güvenlik Açıklarına Karşı Korumak İçin Ek İpuçları

Bazı savunmasız WordPress eklentilerinin farkına varmanın (ve ardından buna göre hareket etmenin) yanı sıra, herhangi bir eklenti zayıflığına karşı mümkün olan maksimum savunmayı sağlamak için her zaman yapabileceğiniz başka şeyler vardır. Bu yüzden WordPress sitenizi, kullandığınız eklentiler savunmasız hale geldiğinde ortaya çıkabilecek olası güvenlik sorunlarından korumak için atabileceğiniz bazı ek adımları da listeleyeceğiz. Bunlardan bazıları:

Eklentilerinizi Düzenli Olarak Güncelleyin

Bundan birkaç kez bahsetmiştik ama tekrar söylemekten zarar gelmez. Yeni bir eklenti güncellemesi çıkar çıkmaz, kullandığınız eklentileri güncellediğinizden emin olun. Yukarıda bahsettiğimiz bazı bilinen eklenti güvenlik açıklarına ilişkin örneklerden de anlaşılacağı gibi, çoğu eklenti geliştiricisi, kayıtlı güvenlik açıkları için mümkün olan en kısa sürede düzeltmeler yayınlama eğilimindedir. Bu yüzden tüm eklentilerinizin düzenli olarak güncellenmesini sağlamak çok önemlidir.

Bir Süredir Güncellenmeyen Eklentileri Kullanmaktan Kaçının

Çoğunlukla, eklenti geliştiricileri, eklentilerini kullananları ortaya çıkabilecek herhangi bir güvenlik açığından korumak için ellerinden gelenin en iyisini yaparlar. Bununla birlikte geliştiricilerin eklenti güncellemelerini uzun bir süre yayınlayamadığı veya daha da kötüsü eklentileri tamamen terk ettiği bazı durumlar her zaman vardır. Dikkatli olmalı ve kullandığınız eklentilerin sık sık güncellenip güncellenmediğini her zaman kontrol etmelisiniz. Hatta en az son altı ay içinde güncellenmemiş eklentilerden kaçınmalısınız çünkü bu eklentilerin güvenlik açığı riski daha yüksektir.

Sıfırlanmış Eklentilerden Uzak Durun

Boş bırakılan temalar gibi, bu tür eklentiler genellikle ücretsiz olarak kullanılabilecekleri şekilde değiştirilir. Fakat bunları kullanırsanız, bunu büyük bir risk pahasına yaparsınız. Yani, geçersiz eklentiler genellikle kötü amaçlı kod biçimindeki eklenti güvenlik açıklarıyla birlikte gelir ve bu da web sitenizi yalnızca farklı bilgisayar korsanlığı saldırılarına eğilimli hale getirebilir. Bunun olmasını önlemek için her zaman geçerli ve orijinal kaynaklardan premium eklentiler aldığınızdan emin olun. Bu eklentilerin ücretsiz sürümlerini seçerseniz, resmi WordPress deposunda (WordPress.org) bulunan eklentileri aldığınızdan emin olun.

Düzenli Web Sitesi Yedeklemeleri Gerçekleştirin

Bazen, bazı WordPress eklentisi güvenlik açıkları, sitenizin kapalı kalma süresi yaşamasına ve hatta tamamen çökmesine neden olabilecek kadar ciddi hasara neden olabilir. Bu yüzden bundan kaçınmak ve tüm web sitesi dosyalarınızın, içeriğinizin ve diğer önemli verilerinizin bozulmadan kalmasını sağlamak için, zaman zaman WordPress sitenizi yedeklemenizi öneririz.

Son olarak daha fazla ipucu istiyorsanız, nihai WordPress güvenlik kontrol listemize de göz atmanızı öneririz.

Konunun Özeti

Eklenti güvenlik açıkları, siteler arası komut dosyası çalıştırma saldırıları, SQL enjeksiyonları ve kötü amaçlı yönlendirmeler dahil olmak üzere WordPress site sahipleri için çok sayıda sorun yaratabilir. Bu saldırıların bir sonucu olarak savunmasız siteler, daha düşük bir SEO sıralamasından marka itibarlarının önemli ölçüde düşmesine kadar her şeyi deneyimleyebilir. Şans eseri, popülerlikleri nedeniyle genellikle en savunmasız olan eklentiler, geliştirme ekipleri tarafından sık sık güvenlik yamaları alma eğilimindedir. Bu listede listelediğimiz eklentilerden herhangi birini kullanıyorsanız…