WordPress 7.1.4 Güvenlik Sürümü: 22 Açık Kapatıldı, Eski Dallara da Düzeltme Çıktı

WordPress, 7.1.4 sürümünü 28 Ekim 2026’da güvenlik sürümü olarak yayımladı ve duyurusunda siteleri hemen güncellemeyi öneriyor. Sürümün WordPress.org belge sitesi HelpHub’daki sayfasına göre güncelleme 22 güvenlik açığını kapatıyor; aynı gün 7.0’dan 4.7’ye kadar eski dallar için de düzeltme sürümleri çıktı. Otomatik arka plan güncellemesi açık olan sitelerde güncelleme kendiliğinden başlıyor.

WordPress 7.1.4’te kapatılan açıklar

Duyurudaki listenin ilk maddesi WordPress’in güncelleme sürecindeki bir zayıflık: HelpHub’a göre çekirdek güncellemesi sırasındaki bir yarış durumu (race condition), güncelleme süresince uzaktan kod çalıştırmaya yol açabiliyor. Duyuru, bu açığın hangi koşulda kullanılabildiğini açıklamıyor.

Kapatılan açıkların çoğu kayıtlı (stored) XSS: Sitede kaydedilen zararlı kod, sayfayı açan başka bir kullanıcının tarayıcısında çalışıyor. Bu açıklar blok işaretlemesinde; Categories, Image, Playlist ve yorum sayfalama bloklarında; Özelleştirici’nin seçici yenileme özelliğinde; Interactivity API’de; kullanıcı adlarında ve kişisel veri silme isteklerinde bulunuyor. Listede ayrıca şunlar var:

• yayımlanmamış Özelleştirici değişikliklerinin giriş yapmamış ziyaretçilere açık olması,
• yazıyı düzenleme yetkisi olmayan bazı yetkili kullanıcıların o yazıya eklenmiş notları okuyabilmesi,
• Interactivity API’de kayıtlı bir hizmet engelleme (DoS) sorunu,
• eMudhra sertifikalarının iptali nedeniyle WordPress’le gelen kök sertifikaların güncellenmesi.

HelpHub’daki 18 maddenin sekizi “Contributor+”, biri “Author+”, biri “Editor+” olarak işaretli: Bu açıkları kullanmak için sitede en az Katılımcı, Yazar ya da Editör rolünde bir hesap gerekiyor. Search Engine Journal da açıkların birçoğunun Katılımcı ya da üstü erişim gerektirdiğini, bunun da kötüye kullanım olasılığını azalttığını yazıyor.

7.1.4, ekim ayındaki ikinci güvenlik sürümü: 7.1.3 6 Ekim’de 7 güvenlik ve 4 hata düzeltmesiyle çıkmıştı. Sonraki ana sürüm 7.2’nin 8 Aralık’ta yayımlanması planlanıyor.

Eski dallar ve Türkçe kurulumlar

Düzeltmeler, güvenlik desteği süren bütün dallara taşındı. HelpHub’a göre 7.0 ve 6.9 dalları 22 açığın hepsinden etkileniyor ve düzeltmeler 7.0.8 ile 6.9.11 sürümlerinde. 6.8 ve 6.7 dallarını 20 açık etkiliyor (6.8.12 ve 6.7.11). Daha eski dallarda etkilenen açık sayısı azalıyor; desteklenen en eski dal olan 4.7, 4.7.39 sürümüyle 2 düzeltme aldı. 4.6 ve öncesi artık güvenlik güncellemesi almıyor. WordPress ayrıca yalnız en son sürümün aktif olarak desteklendiğini hatırlatıyor.

Duyuru ülke ya da dil ayrımı yapmıyor. WordPress Türkçe indirme sayfası 29 Ekim 2026’da Türkçe paketi 7.1.4 sürümüyle sunuyordu.

Katılımcı ve üstü rol gerektiren açıklar, sitede hesabı olan kişi sayısı arttıkça daha çok risk taşır: Misafir yazar kabul eden bloglar ve haber siteleri, içerik girişini ajansa ya da dış ekibe açan kurumsal siteler ve birden çok ürün editörüyle çalışan e-ticaret siteleri bu gruptadır. Güncelleme sürecindeki açık için duyuruda rol bilgisi yok.

WordPress.org istatistiklerinde sürüm dağılımı

29 Ekim 2026 saat 08:44’te (Türkiye saati) WordPress.org’un herkese açık sürüm istatistiklerine baktık. Sitelerin %64,4’ü 7.1 dalında, %7,2’si 7.0 dalında, %28,4’ü 7.0’dan eski dallarda çalışıyor. Güvenlik güncellemesi almayan 4.6 ve öncesi sürümlerin payı %0,95. Aynı istatistiğe göre sitelerin %1,26’sı Türkçe kullanıyor. İstatistik dal düzeyinde tutulduğu için 7.1.4’e ya da eski dalların yeni düzeltme sürümlerine geçen sitelerin oranını göstermiyor.

WordPress siteniz için kontrol listesi

1. Güncellemeden önce dosyaların ve veritabanının yedeğini alın. WordPress’in güncelleme rehberi yedeğin yerinde ve kullanılabilir olduğunu doğrulamanızı da öneriyor.
2. Yönetim panelinde Başlangıç > Güncellemeler sayfasını açın. Sürümünüz 7.1.4 değilse “Şimdi güncelle” düğmesiyle güncelleyin.
3. Eski bir dalda kalıyorsanız o dalın yeni düzeltme sürümünün kurulduğunu doğrulayın (örnek: 6.9 için 6.9.11, 6.8 için 6.8.12) ve 7.1’e geçişi planlayın. Sürüm numaraları WordPress sürüm arşivinde listeleniyor. 4.6 ve öncesindeki sitelere güvenlik düzeltmesi gelmiyor.
4. Güncelleme kendiliğinden gelmediyse wp-config.php dosyasında WP_AUTO_UPDATE_CORE sabitine bakın. Değer false ise küçük sürümler dahil bütün çekirdek güncellemeleri kapalıdır; 'minor' değeri küçük (bakım ve güvenlik) sürümlerin otomatik kurulmasını açık tutar.
5. Araçlar > Site sağlığı > Bilgiler > Sunucu bölümünde PHP sürümünüzü kontrol edin. WordPress, 21 Ekim’deki PHP güvenlik duyurusunda PHP projesinin iki kritik açığı kapattığını bildirmiş ve site sahiplerine PHP’yi hemen güncellemelerini önermişti. Bu açıklar WordPress’e özgü değil ve WordPress güncellemesi gerektirmiyor; 8.2’den eski PHP sürümleri ise artık güvenlik güncellemesi almıyor.
6. Kullanıcılar sayfasında Katılımcı, Yazar ve Editör rolündeki hesapları gözden geçirin. Artık sitede çalışmayan kişilerin hesaplarını Abone rolüne düşürün.

Güncelleme düzenini ve diğer güvenlik önlemlerini web sitesi güvenliği rehberimizde anlatıyoruz. WordPress sitenizin saldırı yüzeyini, yedekten geri dönüşünü ve güncelleme düzenini web güvenliği kapsamında birlikte denetleriz.

Kaynaklar

• WordPress 7.1.4 (WordPress.org News, 28 Ekim 2026)
• Version 7.1.4 (WordPress.org HelpHub)
• WordPress 7.1.3 Maintenance and Security Release (WordPress.org News, 6 Ekim 2026)
• Critical PHP Security Release (WordPress.org News, 21 Ekim 2026)
• Upgrading WordPress (WordPress Advanced Administration Handbook)
• Releases (WordPress.org sürüm arşivi)
• WordPress indir (WordPress Türkçe)
• Statistics (WordPress.org)
• WordPress Announces Another Security Release: Version 7.1.4 (Search Engine Journal)