Temmuz 2026’da WordPress çekirdeği için iki kayıt aynı gün yayımlandı. İkisi de CISA’nın değerlendirmesinde gerçek saldırılarda kullanıldığı işaretlendi, biri 9,8 puan aldı; düzeltme 6.9.5 ve 7.0.2 sürümlerinde geldi. Bunlar küçük (bakım ve güvenlik) sürümlerdi, yani varsayılan ayarlarla çalışan sitelere kendiliğinden kurulan türden. Aynı dönemde eklentiler için yüzlerce kayıt çıktı; onların düzeltmesi ise yalnız otomatik güncellemeyi açmış ya da elle güncelleyen sitelere ulaştı. Bu yazı, WordPress’te neyin kendiliğinden güncellendiğini, neyi sizin açmanız gerektiğini ve otomatik güncellemenin neden bazen sessizce çalışmadığını anlatıyor.
Çekirdek, üç ayrı tarih
WordPress geliştirici belgesi süreci şöyle anlatır:
- WordPress 3.7 arka plan güncellemelerini getirdi. O tarihten beri küçük çekirdek sürümleri, yani bakım ve güvenlik sürümleri (6.9.4’ten 6.9.5’e gibi) ve çeviri dosyaları varsayılan olarak otomatik kurulur.
- WordPress 5.6 ile birlikte yeni kurulumlarda büyük sürümler de (7.0’dan 7.1’e gibi) varsayılan olarak otomatik güncellenir. Daha eski kurulumlar, bir yönetici bunu açmadıkça eski davranışı, yani yalnız küçük sürüm güncellemesini korur.
- Bu davranış
wp-config.phpdosyasındakiWP_AUTO_UPDATE_COREsabitiyle değiştirilebilir:trueher şeyi açar,falseher şeyi kapatır,'minor'yalnız küçük sürümleri açık bırakır.
Belge bir noktada çok net: çekirdek geliştiriciler küçük sürümlerin otomatik güncellenmesini bilinçli olarak varsayılan yaptı ve bunun kapatılması kesinlikle önerilmiyor. Sitenizde WP_AUTO_UPDATE_CORE değeri false ise, Temmuz’daki gibi aktif saldırı altındaki bir çekirdek açığı sizin sitenize elle güncelleyene kadar açık kalır.
Hangi durumda olduğunuzu Pano › Güncellemeler sayfasından görebilirsiniz. Sayfanın üst kısmı, sitenin bakım ve güvenlik sürümlerini mi yoksa tüm sürümleri mi otomatik aldığını yazar.
Eklenti ve temalar, siz açmadıkça kapalı
Eklenti ve temalar için otomatik güncelleme WordPress 5.5 ile geldi ve varsayılan olarak kapalıdır. WordPress belgesine göre yönetici bunu her eklenti ve her tema için tek tek açar:
- Eklentiler: Eklentiler ekranında her satırda “Otomatik güncellemeleri etkinleştir” bağlantısı bulunur. Birden çok eklentiyi seçip toplu işlem menüsünden hepsini birlikte açabilir ya da kapatabilirsiniz.
- Temalar: Görünüm › Temalar ekranında temanın küçük resmine tıklayın; açılan pencerede tema yazarının adının hemen altında aynı bağlantı vardır. Temalar için toplu işlem yoktur, tek tek açılır.
Belgeye göre WordPress otomatik güncellemeleri günde iki kez dener. Bir sonraki denemeye kalan süre, bağlantının altında ve Güncellemeler ekranında görünür. Her denemeden sonra site sahibine e-posta gider: başarılı olursa, başarısız olursa ya da bir kısmı başarılı, bir kısmı başarısız olursa.
Bu iki ayrıntı, açıklarla ilgili şu anlama geliyor: bir eklentiye güvenlik düzeltmesi yayımlandıktan sonra, otomatik güncellemesi açık bir site en geç yarım gün içinde düzeltmeyi alır. Kapalıysa, siz panele girip güncelleyene kadar bekler.
Güncelleme bildirimi neden gelmeyebilir
Otomatik güncelleme ancak WordPress yeni bir sürüm olduğunu bildiğinde çalışır. Dizin yönergelerine göre kullanıcılar yalnız eklentinin sürüm numarası artırıldığında güncelleme uyarısı görür. Bir geliştirici bir açığı kapatıp sürüm numarasını değiştirmeden dosyaları güncellerse, sitelere hiçbir şey ulaşmaz. Ürün sayfalarımızda gördüğünüz “güncel sürüm etkileniyor” uyarılarının bir kısmı bu tür durumlardan kaynaklanabilir.
Ücretli ürünler ayrı bir durum. WordPress.org dışından gelen tema ve eklentilerin otomatik güncellemesi, satıcının lisans sistemi WordPress’in güncelleme mekanizmasına bağlanıyorsa çalışır; lisans anahtarı girilmemişse ya da lisans süresi dolmuşsa çalışmaz. Ayrıntıyı ücretli tema güncellemesi yazımızda anlattık.
Ayar görünmüyorsa ya da çalışmıyorsa
WordPress belgesi iki olası nedeni sayar:
- Ayar düğmeleri hiç yok. Sürümünüz 5.5 ya da üstüyse, bu genellikle barındırma firmanızın ya da bir eklentinin özelliği kısmen veya tamamen kapattığını gösterir. Yönetilen WordPress barındırması sunan bazı firmalar güncellemeleri kendi sistemleriyle yapar.
- Düğmeler var ama güncelleme olmuyor. Otomatik güncellemeler WordPress’in zamanlanmış görev sistemine (WP-Cron) dayanır. Cron görevleri çalışmıyorsa güncelleme de çalışmaz. Belge, Araçlar › Site Sağlığı ekranında hata mesajı aramayı önerir.
WP-Cron, sitenize bir ziyaretçi geldiğinde tetiklenir. Çok az ziyaret alan bir sitede zamanlanmış görevler gecikebilir; bu, otomatik güncellemenin de gecikmesi demektir.
Hangi eklentide açmalı
Otomatik güncellemenin bilinen bir bedeli var: yeni sürüm bir şeyi bozarsa, bunu siz fark etmeden önce ziyaretçileriniz fark edebilir. WordPress belgesi bu yüzden otomatik güncellemeyi açmadan önce düzenli otomatik yedek almayı ve gerektiğinde geri dönebilecek durumda olmayı önerir.
Verimiz bir karar ölçütü sunuyor. Kendi sayfası olan 199 ürünün büyük çoğunluğunda WordPress.org’daki güncel sürüm, son 12 ayda kaydı yayımlanan açıkların hiçbirinden etkilenmiyor görünüyor. Yani bu ürünlerde güncel kalmak, bilinen açıkların neredeyse tamamını kapatıyor. Bu ölçütle bir önceliklendirme önerisi:
- Açın: son 12 ayda çok sayıda kaydı olan, ama düzeltmeleri hızlı yayımlanan eklentiler. Form, üyelik, sayfa oluşturucu eklentileri bu gruptadır. Eklentiler listesinde kayıt sayısına ve durum sütununa bakın.
- Açın: giriş gerektirmeyen kayıtları sık çıkan eklentiler. Bu kayıtlar otomatik tarayıcılarla denendiği için düzeltmeyi yarım gün içinde almak fark yaratır.
- Dikkatle açın: mağaza, ödeme ve üyelik eklentileri gibi bozulduğunda doğrudan gelir kaybettiren eklentiler. Burada otomatik güncellemeyi açıp hata bildirimi e-postalarını takip etmek, kapatıp unutmaktan daha güvenlidir.
- Tema: alt tema kullanıyorsanız ana temanın otomatik güncellemesini açmak özelleştirmelerinizi silmez.
Milyonlarca sitede kurulu eklentiler
Otomatik güncellemeyi tartarken sık sorulan bir soru, büyük ve popüler eklentilerin “zaten güvenli” olup olmadığı. Verimiz bu soruya ilginç bir cevap veriyor. Kendi sayfası olan ürünler arasında WordPress.org’a göre bir milyonun üzerinde etkin kurulumu olan yedi eklenti var: bir sayfa oluşturucu, iki SEO eklentisi, bir form eklentisi, bir çeviri eklentisi ve iki sayfa oluşturucu eklenti paketi. Bunların her biri için son bir yılda 6 ile 12 arasında açık kaydı yayımlandı. Yani popülerlik açıksızlık anlamına gelmiyor; tam tersine, çok kullanılan eklentiler daha çok araştırmacının dikkatini çekiyor.
Ama aynı yedi eklentinin yedisinde de WordPress.org’daki güncel sürüm, bu kayıtların hiçbirinden etkilenmiyor görünüyor; düzeltmelerin hepsi yayımlanmış. Bu eklentilerde risk, açığın varlığından değil, sitenin eski sürümde kalmasından doğuyor; otomatik güncellemenin en çok işe yaradığı yer de burası. Eklentiler listesinde kurulum sayısı her satırın altında yazıyor.
Bir kayıt çıktığında kontrol
Bir eklenti için yeni bir kayıt gördüğünüzde üç soruyu sorun: Bu eklentinin otomatik güncellemesi açık mı? Açıksa, Güncellemeler ekranı ya da e-posta son denemenin başarılı olduğunu söylüyor mu? Kurulu sürüm, kayıttaki düzeltme sürümüne eşit ya da daha yeni mi? Kaydın sürüm satırının nasıl okunacağını CVE kaydı yazımızda, çekirdek kayıtlarının listesini WordPress çekirdeği sayfasında bulabilirsiniz.