“Nulled” sözcüğü, lisans denetimi kaldırılarak ücretsiz dağıtılan ücretli tema ve eklenti kopyaları için kullanılır. Wordfence’in tanımıyla nulled eklenti, lisans parası ödemeden ücretli özelliklerin bir kısmını sunmak için değiştirilmiş bir kopyadır; çoğu zaman ücretli özelliklerin tamamını vermez ve sıklıkla arka kapı ile başka kötü amaçlı yazılım içerir. Bu yazıda böyle kopyaları nereden bulacağınızı değil, neden bulmamanız gerektiğini ve kurduysanız ne yapacağınızı anlatıyoruz.
GPL “ücretsiz kopya” demek mi
WordPress GPLv2 (ya da sonrası) lisansıyla dağıtılır. WordPress.org’un lisans sayfası, WordPress kodundan türetilen işlerin GPL lisansını devraldığını söyler ve neyin türev iş sayıldığı konusunda hukuki bir gri alan olduğunu kabul etse de tema ve eklentileri türev iş saydığını açıkça belirtir.
Buradan sık yapılan çıkarım şu: “Tema GPL ise, birinin onu ücretsiz dağıtması da serbesttir.” Kodu kopyalama ve dağıtma açısından GPL gerçekten geniş haklar tanır. Ama Wordfence’in 2021 yazısı iki sınırı hatırlatır. Birincisi, GPL marka hakkını kapsamaz: kodu çatallayan (fork) biri, ürünü orijinal adı ve logosuyla, sanki aynı satıcıdan geliyormuş gibi sunarsa satıcının markasını ihlal eder. İkincisi, birçok ücretli ürünün değeri kodda değil hizmettedir. Wordfence kendi ücretli sürümünü örnek verir: gerçek zamanlı IP engelleme listesi, anında güvenlik duvarı kuralları ve güncel kötü yazılım imzaları geçerli bir lisans gerektirir ve nulled bir kopyaya hiçbir zaman ulaşmaz.
Yani GPL kodu özgür kılar; satıcının sunucusundan gelen güncellemeleri, destek hizmetini ve markayı değil.
Kopyanın içine ne konuyor
Wordfence’in Eylül 2025’te yayımladığı araştırma, nulled eklentilerin nasıl kullanıldığını ayrıntılı gösteriyor. Örnekler Wordfence’e 26 Ağustos 2025’te iletilmiş, tespit imzaları 2 Eylül 2025’te yayımlanmış. Rapordaki bulgular:
- Kötü amaçlı kod, karakter kodlarını karıştırma ve dizeleri parçalama gibi yöntemlerle gizlenmiş.
- Kod tetiklendiğinde güvenlik eklentisini, eklenti klasörünün adını değiştirerek dosya sistemi düzeyinde devre dışı bırakıyor.
- Ardından yeni bir yönetici hesabı açıyor ya da var olan bir kullanıcıyı yönetici yapıyor; böylece arka kapı temizlense bile saldırgan yönetim yetkisini koruyor.
- Yönetim panelinde kötü amaçlı eklentinin listede görünmemesi ve güvenlik taramasındaki “yok sayılan” sonuçların gizlenmesi için CSS ve JavaScript kullanıyor.
Wordfence’in 2021 yazısı da benzer bir tablo çizer: nulled kopyalardaki arka kapılar arama motoru spam’i yaymak, başka sitelere saldırmak, hassas bilgi çalmak ve ziyaretçileri zararlı reklam sitelerine yönlendirmek için kullanılır. Yani zarar yalnız size değil, ziyaretçilerinize ve sitenizin itibarına da uzanır.
“İndirimli lisans” satan siteler
Wordfence 2021 yazısında bir eğilime dikkat çekiyor: nulled kopyalar artık yalnız forumlarda ve sosyal medya gruplarında ücretsiz dağıtılmıyor; aylık abonelikle ya da “premium sürüm, yarı fiyatına” vaadiyle satan siteler çoğalıyor. Wordfence’e göre bu ücretli kopyalarda kötü amaçlı yazılım bulunma ihtimali ücretsiz dağıtılanlardan daha düşük, ama bunlar da ücretli özelliklerin tamamını sunmuyor ve çoğu zaman WordPress.org dizininde zaten ücretsiz bulunan kodun yeniden paketlenmiş hâli.
Aynı yazı, bir kopyanın nulled olup olmadığını anlamanın basit bir ölçütünü verir: ürünü satıcının kendi sitesi yerine üçüncü bir taraftan, indirimli bir “ömür boyu lisans” olarak ya da ücretsiz aldıysanız, nulled bir kopya kullanıyorsunuz. Panelde “lisans etkin” yazması bunu değiştirmez; Wordfence’e göre çoğu eklentinin kodunu lisanslıymış gibi görünecek biçimde değiştirmek kolaydır.
Wordfence kendi ürünüyle ilgili bir ölçüm de paylaşıyor: nulled Wordfence kopyası çalıştıran sitelerde, kopyanın kendisi kötü amaçlı kod içermese bile, başka bulaşmalarla karşılaşma ihtimali, ücretsiz sürümü kullanan ortalama siteye göre iki katından fazla. Yazı ayrıca bazı nulled dağıtım sitelerinin kullanım şartlarında, eklentiyi kurarak sitenizi istedikleri zaman değiştirmelerine izin verdiğinizi söyleyen maddeler bulunduğunu aktarıyor.
Kopyalar çoğunlukla orijinal ürünün adını ve logosunu taşır. Satıcıya destek için yazdığınızda satıcının sizi tanımadığını öğrenirsiniz; çünkü onun kayıtlarında böyle bir satın alma yoktur.
Arka kapı olmasa bile, güncelleme yok
Diyelim ki indirdiğiniz kopya temiz. Yine de bir sorun kalır: o kopya hiçbir zaman güncelleme almaz. Lisans anahtarı olmadığı için satıcının güncelleme sunucusu size yeni sürüm göndermez; panelde bildirim de görmezsiniz.
Bu, açık kayıtlarıyla doğrudan ilgili. Son 12 ayda (20 Ekim 2026 itibarıyla) WordPress.org dizininde bulunmayan, çoğunluğu ücretli ürünler için 1.300’ü aşkın açık kaydı yayımlandı. Bir nulled kopya, indirildiği gündeki sürümde donar. Ondan sonra yayımlanan her kayıt, o kopya için kapanmayacak bir açıktır. Temalar sayfasındaki dizin dışı tema kayıtlarına göz atarsanız, Avada, Betheme, Houzez ve KALLYAS gibi pazar yerlerinde satılan tema adlarını göreceksiniz.
Ücretli bir ürünün güncellemelerinin normalde nasıl geldiğini ücretli tema güncellemesi yazımızda anlattık.
Müşteri sitelerinde
Serbest çalışan web tasarımcıları için ayrı bir risk var. Müşteri sitesine nulled bir tema kurmak, siteyi teslim ettiğiniz andan itibaren güncellenemeyen bir ürün bırakmak demektir. Müşteri bunu bilmez; lisans anahtarı olmadığı için güncellemeyi kendisi de yapamaz. Bir açık kaydı çıktığında ya da site ele geçirildiğinde sorumluluk sorusu size döner. Temiz yol, lisansı müşteri adına almak ya da lisans koşullarının izin verdiği biçimde kendi ajans lisansınızı kullanmak ve bunu teslim belgesine yazmaktır.
Kurduysanız, savunma adımları
Sitenizde lisansını resmî kaynaktan almadığınız bir tema ya da eklenti varsa, sırayla şunları yapın:
- Yedek alın, ama yedeğe güvenmeyin. Mevcut durumu kayıt altına almak için tam yedek alın. Bu yedek muhtemelen kirlidir; geri yüklemek için değil, inceleme için saklanır.
- Kopyayı silin, resmî sürümü kurun. Devre dışı bırakmak yetmez; dosyaları sunucudan kaldırın. Ürünü kullanmaya devam edecekseniz satıcıdan lisans alıp resmî paketi kurun.
- Kullanıcıları gözden geçirin. Kullanıcılar sayfasını “Yönetici” rolüne göre süzün. Wordfence raporundaki örnekte olduğu gibi, tanımadığınız ya da sıradan görünen adla açılmış yönetici hesapları olabilir. Tanımadıklarınızı silin, kendi hesaplarınızın parolasını değiştirin.
- Güvenlik eklentinizin klasörünü kontrol edin. Raporda güvenlik eklentisinin klasör adı değiştirilerek kapatıldığı anlatılıyor. Eklentiler sayfasında güvenlik eklentiniz görünmüyorsa ya da devre dışıysa bunu bir işaret sayın.
- Panelden dosya düzenlemeyi kapatın. WordPress sıkılaştırma belgesi,
wp-config.phpdosyasınaDISALLOW_FILE_EDITsabitini eklemeyi anlatır; bu, panelden tema ve eklenti dosyası düzenlemeyi kapatır. Belge, panel düzenleyicisinin giriş yapabilen bir saldırganın ilk kullandığı araç olduğunu söyler. - Kaynakları kısıtlayın. Aynı belge, eklenti ve temaları güvenilmeyen kaynaklardan almamayı, WordPress.org dizini ya da bilinen firmalarla sınırlı kalmayı önerir.
Kirlilik derinse, örneğin çekirdek dosyaları ya da veritabanı değiştirilmişse, barındırma firmanızdan ya da bir güvenlik uzmanından destek almak en hızlı yoldur.
Bir ürünün açıklarını kontrol etmek
Kullandığınız ücretli ürünün son 12 aydaki kayıtlarını görmek için eklentiler sayfasındaki arama kutusuna ürün adını yazabilirsiniz. Arama, sayfası olmayan ürünlerin kayıt sayısını da gösterir.