WordPress 7.1.3, 6 Ekim 2026’da yayımlanan bir bakım ve güvenlik sürümü: 7 güvenlik açığını ve 4 hatayı düzeltiyor. WordPress.org, sürüm güvenlik düzeltmesi içerdiği için siteleri hemen güncellemenizi öneriyor (WordPress.org duyurusu).
Bu, üç hafta içinde 7.1 serisine gelen üçüncü güvenlik sürümü. 7.1.1 ve 7.1.2’yi anlattığımız yazıdan sonra yine aynı soru gündemde: hangi açık kimi ilgilendiriyor, eski sürümde kalan siteler ne yapmalı ve güncellemenin gerçekten uygulandığını nasıl anlarsınız?
WordPress 7.1.3 hangi güvenlik açıklarını kapatıyor?
Duyuruda yedi açık tek tek listeleniyor. İkisi siteler arası betik çalıştırma (XSS), biri SQL enjeksiyonu, biri hizmet reddi (DoS); geri kalanlar yetki ve bilgi ifşası sorunları. Önem derecesi (CVSS puanı) duyuruda paylaşılmadı, bu yüzden aşağıda yalnızca açığın türünü ve etkilediği alanı veriyoruz.
Not: 7.1.3’ün sürüm belgesinde özet kısmı “bir güvenlik düzeltmesi” diyor ama aynı sayfanın listesinde yedi madde var; duyuru da yedi düzeltme diyor. Belgedeki ifade 7.1.2’den kalmış görünüyor.
Hangi açık sizi gerçekten ilgilendiriyor?
Açıkların hepsi her siteyi aynı ölçüde ilgilendirmiyor. Saldırganın neye ihtiyaç duyduğuna bakmak, önceliği belirlemenin en hızlı yolu. Aşağıdaki tablo bu ihtiyacı yalnızca duyurudaki tanımlardan çıkarıyor.
| Açık | Saldırganın ihtiyacı | Kimler özellikle dikkat etmeli |
|---|---|---|
| Özel yazı yorumlarının ifşası | Hesap gerekmiyor (duyuruda “unauthenticated”) | Özel ya da taslak içerikte yorum tutan tüm siteler |
| Yorum yönetiminde kalıcı XSS | Onay bekleyen bir yorum | Yorumları açık, moderasyonla çalışan bloglar |
| Imgur gömme XSS | Imgur bağlantısı içeren içerik | Gömme (embed) kullanan, çok yazarlı siteler |
| Yazar rolüyle sabitleme | Yazar (Author) hesabı | Dışarıdan yazar alan dergi ve haber siteleri |
| WXR dışa aktarma SQL enjeksiyonu | Dışa aktarma akışına veri sokabilmek | Düzenli içerik taşıyan ajanslar, çoklu site yöneticileri |
| make_absolute_url() DoS | Duyuruda ayrıntı yok | Tüm siteler |
| {status}_{type} hook çakışması | Duyuruda ayrıntı yok | Bu hook’u kullanan eklenti geliştiricileri |
19 günde üç güvenlik sürümü: 7.1 serisinde ne oluyor?
7.1.1 17 Eylül’de 11 güvenlik düzeltmesiyle, 7.1.2 22 Eylül’de tek bir düzeltmeyle, 7.1.3 de 6 Ekim’de yedi düzeltmeyle geldi (WordPress.org sürüm arşivi). Yani 7.1 serisi 19 gün içinde toplam 19 güvenlik düzeltmesi aldı.
Bu sıklığın bir pratik sonucu var: “bir sonraki büyük sürümü beklerim” yaklaşımı artık işe yaramıyor. Otomatik küçük sürüm güncellemesi kapalı olan bir site, üç haftada üç ayrı yamayı kaçırmış olabilir. Bildirenler arasında üç açıkla yapay zeka şirketi Anthropic’in de yer alması ayrıca dikkat çekiyor.
Eski bir sürümdeyseniz: hangi yama size gelir?
Güvenlik düzeltmeleri, “nezaketen” 4.7’ye kadar güvenlik güncellemesi alan tüm dallara geri taşınıyor (backport). Sürüm arşivinde 7.0.7 ve 6.9.10 da 6 Ekim tarihli; WordPress.org güncelleme API’si 6.8.11 ve 6.7.10’u da sunuyor. Ancak WordPress.org’un uyarısı açık: yalnızca en son sürüm aktif olarak destekleniyor (duyuru).
WordPress 7.1.3’e nasıl güncellenir?
Küçük ve güvenlik sürümleri çoğu sitede arka planda kendiliğinden kurulur; FTP bilgisi istemeden tek tıkla güncellenebilen siteler bu sürümü otomatik alır (Updating WordPress). Kendiniz kontrol etmek ya da elle güncellemek için:
Yedek alın. Dosyaları ve veritabanını yedekleyin; sorun çıkarsa geri dönebilmek için gerekli.- Pano › Güncellemeler ekranını açın. Sayfa 7.1.3’ü gösteriyorsa Şimdi güncelle düğmesine basın.
- Komut satırını tercih ediyorsanız WP-CLI ile
wp core update --minorçalıştırın; bu komut yalnızca küçük sürüme yükseltir (WP-CLI belgesi). - Tek tık çalışmazsa elle güncelleyin: yeni zip’i indirin, eklentileri kapatın, eski
wp-adminvewp-includesklasörlerini yenileriyle değiştirin.wp-contentklasörünü silmeyin, yalnızca içindeki yeni dosyaların üzerine yazın. - Önbelleği temizleyin ve eklentileri yeniden etkinleştirin.
Yedek alın. Dosyaları ve veritabanını yedekleyin; sorun çıkarsa geri dönebilmek için gerekli. “Güncelleme başarısız” uyarısı ekranda kalırsa WordPress kök dizinindeki .maintenance dosyasını FTP ile silmek bu uyarıyı kaldırır (WordPress.org).
Güncellemenin uygulandığını nasıl doğrularsınız?
- Pano › Güncellemeler ekranında kurulu sürüm 7.1.3 olarak görünmeli; bekleyen çekirdek güncellemesi kalmamalı.
- WP-CLI kullanıyorsanız
wp core versionkomutu 7.1.3 döndürmeli. - Yönetilen barındırmada sağlayıcınız çekirdeği kendisi güncelliyor olabilir; yine de sürümü aynı ekrandan kontrol edin.
Bu sürümde hangi dosyalar değişti?
Sürüm belgesine göre 7.1.3 dokuz çekirdek dosyasına dokunuyor ve hiçbir paket (package) değişmiyor (sürüm belgesi). Çekirdek dosyalarını elle değiştirdiyseniz bu değişiklikler güncellemeyle silinir; aşağıdaki listeyle çakışma olup olmadığına bakın.
/wp-admin/js/common.js
/wp-admin/includes/export.php
/wp-includes/rest-api/endpoints/class-wp-rest-posts-controller.php
/wp-includes/class-wp-customize-manager.php
/wp-includes/class-wp-customize-setting.php
/wp-includes/class-wp-http.php
/wp-includes/class-wp-oembed.php
/wp-includes/class-wp-query.php
/wp-includes/post.phpListede export.php (WXR dışa aktarma), class-wp-oembed.php (Imgur gömmeleri) ve class-wp-http.php (make_absolute_url) gibi dosyalar, duyurudaki açıklarla birebir örtüşüyor. 7.1 serisinin genel değişikliklerini merak ediyorsanız WordPress 7.1 “Mary Lou” yazımıza göz atabilirsiniz.
Sık sorulan sorular
WordPress 7.1.3 ne zaman yayımlandı?
WordPress 7.1.3, 6 Ekim 2026’da yayımlandı. Sürüm 7 güvenlik düzeltmesi ve 4 hata düzeltmesi içeriyor; WordPress.org siteleri hemen güncellemeyi öneriyor.
WordPress 7.1.3 otomatik olarak kurulur mu?
Evet, otomatik arka plan güncellemesini destekleyen sitelerde kurulum kendiliğinden başlar. Bu, WordPress 3.7’den beri küçük ve güvenlik sürümleri için varsayılan davranıştır; otomatik güncellemeyi kapattıysanız Pano › Güncellemeler’den elle kurmanız gerekir.
WordPress 7.1.3 hangi güvenlik açıklarını kapatıyor?
Yorum yönetimi sayfasındaki kalıcı XSS, WXR dışa aktarmadaki ikinci derece SQL enjeksiyonu, özel yazı yorumlarının kimlik doğrulamasız görülebilmesi, Imgur gömmelerinde XSS, make_absolute_url() metodundaki DoS, Yazar rolünün yazı sabitleyebilmesi ve {status}_{type} hook’undaki parametre sorunu.
WordPress 7.0 kullanıyorum, 7.1.3’e geçmem şart mı?
Güvenlik düzeltmeleri 7.0 dalına 7.0.7 olarak taşındı, yani 7.0’da kalarak da bu yamaları alabilirsiniz. Yine de WordPress.org yalnızca en son sürümün aktif olarak desteklendiğini vurguluyor; uzun vadede 7.1.3’e geçmek daha güvenli.
WordPress güncellemesi siteyi bozar mı?
Küçük sürümler yalnızca hata ve güvenlik düzeltmesi içerdiği için genellikle sorunsuz kurulur. Çekirdek dosyalarını elle değiştirdiyseniz bu değişiklikler kaybolur; bu yüzden güncellemeden önce yedek almak önerilir.
WordPress tarafındaki diğer güncellemeler için 7.1 RC1 notlarımıza ve WordPress 7.0’daki PHP ile blok kaydı yazımıza da bakabilirsiniz.
Bir Yorum Yazın