Bir temada güvenlik sorunu bulunduğunda düzeltme size tek bir yoldan ulaşır: temanın yeni sürümü. WordPress.org’daki tema sayfaları “bu temada açık var” gibi bir rozet göstermez, yönetim panelindeki güncelleme ekranı da yeni sürümün neyi düzelttiğini söylemez. Bu yüzden güncelleme almayan bir temanın riski, temanın kendisinden çok “bir sorun çıkarsa düzeltme gelecek mi” sorusudur. 20 Ekim 2026 verimize göre 1.000’den fazla kurulumu olan 538 temanın 120’si iki yıldan uzun süredir yeni sürüm almadı. Bu temaların etkin kurulum alt sınırlarının toplamı 244.000. Aşağıda WordPress.org’un bu tür durumlarda nasıl davrandığını ve kendi temanızı açık kayıtlarda nasıl takip edebileceğinizi anlatıyoruz.
Önce bir ayrımı netleştirelim: uzun süre güncellenmemek, temada açık olduğu anlamına gelmez. Hiç sorun bildirilmemiş, sade kodlu bir tema yıllarca güncelleme almadan çalışabilir. Güncellenmemenin anlattığı şey, bir sorun bulunursa onu kimin ve ne kadar sürede kapatacağının belirsiz olmasıdır.
Kaç site bu durumda
Havuzdaki 538 temayı son güncelleme tarihine göre dört gruba ayırıyoruz. Kurulum sütunu, WordPress.org’un yuvarlanmış etkin kurulum alt sınırlarının toplamıdır.
| Son güncelleme | Tema | Kurulum alt sınırı toplamı |
|---|---|---|
| Son 6 ay | 294 | 8.321.000 |
| 6–12 ay önce | 64 | 923.000 |
| 12–24 ay önce | 60 | 362.000 |
| 2 yıldan uzun | 120 | 244.000 |
Kurulumların büyük çoğunluğu düzenli güncellenen temalarda. Ama 12 aydan uzun süredir sürüm almayan 180 temanın kurulum toplamı 600.000’i aşıyor. Bu sitelerin sahipleri için bir güvenlik düzeltmesinin gelip gelmeyeceği, geliştiricinin hâlâ ilgilenip ilgilenmediğine bağlı. İki yıl sınırını aşan temaların WordPress.org sayfasında, temanın artık bakılmıyor ya da desteklenmiyor olabileceğini söyleyen bir uyarı çıkar; bu uyarının ayrıntısını ayrı bir yazıda ele aldık.
WordPress.org bir güvenlik sorunu öğrendiğinde
Tema dizinini yöneten Themes Team’in askıya alma kuralları (son güncelleme 7 Haziran 2026) sorunları etkisine göre gruplar. Güvenlik sorunları, lisans sorunları, kullanıcı izleme ve izin sorunlarıyla birlikte “yüksek etkili” grupta yer alır.
| Durum | Geliştiriciye verilen süre | Süre dolarsa |
|---|---|---|
| Düşük ve orta etkili sorunlar | En az 7 gün | Tema listeden çıkarılabilir |
| Yüksek etkili sorunlar (güvenlik dahil) | En az 3 gün | Listeden çıkarma ya da geçici askı |
| Etkinleştirmede PHP ölümcül hatası | Süre yok | Hemen geçici askı |
Listeden çıkarılan bir tema üç ay içinde düzeltilmezse geçici olarak askıya alınır. Bu üç aşamanın kullanıcıya etkisi farklıdır:
- Listeden çıkarma. Tema dizin aramasında görünmez, ama geliştirici güncelleme göndermeye devam edebilir. Temayı kullananlar sorunu gideren güncellemeyi alabilir.
- Geçici askı. Tema düzeltilip yeniden açılana kadar dizinde gizlenir. Geliştirici zip yükleyemez; değişiklik özetini ve depo bağlantısını askı e-postasına yanıt olarak gönderir.
- Kalıcı askı. Tema gizlenir, hiçbir güncelleme gönderilemez ve tema adı başkasına verilmez. Kurallara göre Themes Team kalıcı askıyı kaldırmaz.
Kalıcı askıdaki bir temayı kullanıyorsanız WordPress.org üzerinden bir düzeltme gelmeyecek demektir. Geliştirici temayı başka bir kanaldan güncellese bile, sitenizdeki kopya bunu WordPress.org bildirimiyle öğrenmez.
Açığı bulursanız nereye bildirirsiniz
Theme Handbook’un güvenlik sayfası iki yol veriyor: temanın dizin sayfasındaki “Report this theme” düğmesi ya da [email protected] adresine e-posta. E-postada sorunun açıklaması, temanın bağlantısı, sorunu doğrulayıp doğrulamadığınız ve varsa kamuya açık bildirimlerin bağlantıları istenir. Aynı sayfa, açığın hiçbir yerde herkese açık biçimde paylaşılmamasını istiyor; gerekçe, farkındalık arttıkça saldırıların artması ve bunun düzeltmeyi nadiren hızlandırması. Çekirdek ve eklenti açıklarının ayrı bildirim süreçleri var.
Temanızı açık kayıtlarda aramak
Herkese açık birkaç kaynak, WordPress temalarında bildirilmiş açıkları listeliyor. Bunların hiçbiri tam liste değildir, ama bir taramayı birlikte yapmak bir kaynağa bakmaktan daha çok şey gösterir.
WPScan tema listesi
WPScan’in tema sayfası açıkları tema kısa adına (slug) göre, yayın tarihi ve açık başlığıyla listeler; harf harf göz atılabilir ve sayfada arama kutusu var. Temanızın kısa adı, WordPress.org adresindeki /themes/ sonrası kısımdır; ör. wordpress.org/themes/hemingway/ için hemingway.
NVD (ABD Ulusal Açık Veritabanı)
NIST’in yürüttüğü NVD, CVE numarası almış açıkları toplar. CVE API 2.0 anahtar istemeden sorgulanabiliyor. Ancak anahtar kelime araması gevşek eşleşir: 20 Ekim 2026’da “WordPress theme” araması 994 kayıt döndürdü ve listenin başında WordPress 2.0 dönemine ait, tema değil çekirdekle ilgili kayıtlar vardı. Temanızın adını tırnak içinde ve WordPress kelimesiyle birlikte aramak sonucu daraltır. Bulduğunuz kaydın açıklamasında tema adının ve etkilenen sürüm aralığının geçtiğinden emin olun.
Patchstack veritabanı
Patchstack kendi sayfasında açık kaynaklı bir zafiyet veritabanı olarak tanıtılıyor; kayıtlar etkilenen yazılım ve sürüm aralığıyla (ör. “< 14.3.3”) birlikte bir risk puanı taşıyor. Sayfada WordPress dışındaki yazılım paketleri de listelendiği için arama yaparken tema adını tam yazmak gerekiyor.
Bir kaydı nasıl okursunuz
Açık kayıtlarında üç bilgi önemlidir:
- Etkilenen sürümler. Genellikle “2.3.1 ve öncesi” ya da “< 2.4.0” biçiminde yazılır. Kendi sürümünüzü Görünüm > Temalar ekranında temanın ayrıntılarından görebilirsiniz.
- Düzeltilen sürüm. Kayıtta düzeltme sürümü yazıyorsa ve temanın sürüm geçmişinde bu sürüm varsa, çözüm güncellemedir. Sürüm geçmişini her temanın sayfamızda tarihleriyle görebilirsiniz; ör. iki yıldır sürüm almayan Hemingway için tablo 2.3.2 sürümüyle bitiyor; bu sürümün SVN tarihi 3 Ekim 2022.
- Önkoşul. Bazı açıklar ancak yönetici ya da yazar yetkisindeki bir kullanıcı tarafından tetiklenebilir; bazıları ziyaretçi tarafından. Kayıtta “authenticated” ya da “unauthenticated” ayrımı bu bilgiyi verir. Bu ayrım riskin büyüklüğünü değiştirir, ama değerlendirmeyi siz yapmalısınız; biz bir açığın sitenizi ne kadar etkileyeceği konusunda hüküm vermiyoruz.
Kayıt bulamamak temanın güvenli olduğunu göstermez. Yalnızca bu kaynaklara bildirilmiş ve yayımlanmış bir açık olmadığını gösterir.
Aylık bir kontrol düzeni
Bakımsız ya da durgun bir tema kullanıyorsanız ayda bir şu sırayı izlemek işinizi görür:
- Etkin temanın kısa adını ve kurulu sürümünü not edin. Alt tema kullanıyorsanız ana temanın adını yazın; açıklar ana temanın kodunda olur.
- Temanın bizdeki sayfasında ya da WordPress.org’da son sürüm tarihine bakın. Yeni bir sürüm çıkmışsa değişiklik günlüğünü okuyun; “security”, “escape”, “sanitize”, “XSS” gibi kelimeler bir güvenlik düzeltmesine işaret edebilir. Değişiklik günlüğünü okumayı ayrı bir yazıda anlattık.
- WPScan, NVD ve Patchstack’te temanın adını arayın.
- Kurulu sürümünüzü etkileyen bir kayıt varsa ve düzeltme sürümü yayımlanmışsa, güncellemeyi önce deneme kopyasında yapın. Yedek ve deneme adımları tema güncellemeden önce yedek yazısında.
- Etkileyen bir kayıt var ama düzeltme yoksa, sorunu bir alt temada kendi kodunuzla kapatmak ya da temayı değiştirmek gerekir. Planlı bir geçiş için bakımsız temadan geçiş yazısına bakabilirsiniz.
Kullanmadığınız temaları da unutmayın. WordPress’in Updates ekranı belgesine göre bu ekran etkin olsun olmasın, güncellemesi bulunan bütün temaları listeler. Etkin olmayan bir tema da sunucuda dosya olarak durur; kullanmayacağınız temaları silmek takip etmeniz gereken listeyi kısaltır.
Hangi temaların uzun süredir yeni sürüm almadığını görmek için 2 yıldır güncellenmeyen temalar listesine bakabilirsiniz. Bu liste bir uyarı listesi değil, takip listesi; içindeki bir temanın açığı olduğu anlamına gelmez.