Belirtiler

• Ziyaretçiler bahis, kumar ya da ilaç sitelerine yönleniyor. Bu yönlendirme çoğu zaman yalnız Google'dan ya da telefondan gelenlere uygulanır; adresi doğrudan yazdığınızda görmeyebilirsiniz.
• Google sonuçlarında tanımadığınız sayfalar ya da "Bu site saldırıya uğramış olabilir" uyarısı çıkıyor.
• Dosyalarınız arasında tanımadığınız .php dosyaları var, index.php veya .htaccess değişmiş.
• Sitenizde tanımadığınız bir yönetici hesabı var ya da hesabınızdan siz göndermediğiniz e-postalar gidiyor.

İlk saatte yapılacaklar

1. Kendi bilgisayarınızı tarayın. FTP programlarında ve tarayıcıda kayıtlı parolalar, bilgisayarınızdaki zararlı yazılımla çalınmış olabilir. Güncel bir antivirüsle tarama yapmadan yeni parola belirlerseniz onlar da çalınabilir.
2. Parolaları değiştirin. Aşağıdaki tablodaki her hesabın parolasını, birbirinden farklı ve güçlü parolalarla yenileyin.
3. Mevcut durumun yedeğini alın. cPanel Yedekleme (Backup) aracıyla şu anki hâlin yedeğini indirin. Bu yedek geri yükleme için değil, temizlik sırasında yanlışlıkla silinen içeriği geri almak ve saldırıyı incelemek içindir.
4. Saldırganın bıraktığı kapıları kapatın. cPanel'de Cron İşleri (Cron Jobs) sayfasında tanımadığınız görevleri (dışarıdan dosya indiren ya da anlamsız karakter dizileri içeren komutlar), FTP Hesapları (FTP Accounts) sayfasında tanımadığınız hesapları, SSH Erişimi (SSH Access) sayfasında tanımadığınız anahtarları silin.

Veritabanı parolasını değiştirip yapılandırma dosyasını güncellemezseniz site "veritabanı bağlantı hatası" verir (bkz. sık site hataları). cPanel hesabınızda Güvenlik → İki Faktörlü Kimlik Doğrulama (Two-Factor Authentication) özelliğini de açın.

Temizlik: iki yol

Hangi yolu seçerseniz seçin, saldırganın girdiği açık (çoğunlukla güncellenmemiş bir eklenti ya da tema) kapanmadıkça site yeniden ele geçirilir. Geri yüklemeden hemen sonra her şeyi güncelleyin.

Elle temizlik adımları (WordPress)

1. Çekirdek dosyaları yenileyin. wordpress.org adresinden WordPress'i indirin. Sunucudaki wp-admin ve wp-includes klasörlerini tamamen silip yenilerini yükleyin, kök dizindeki çekirdek dosyalarının üzerine yazın. wp-config.php ve wp-content klasörünü değiştirmeyin, ama wp-config.php içinde yabancı kod olup olmadığına bakın.
2. Eklenti ve temaları yeniden yükleyin. Hepsini resmi kaynaklarından temiz olarak yeniden kurun, kullanmadıklarınızı silin. Lisanssız ("nulled") tema ve eklentileri hemen kaldırın; bunlar çoğu zaman arka kapıyla birlikte gelir.
3. Şüpheli dosyaları bulun. wp-content/uploads klasöründe normalde hiç .php dosyası bulunmaz. SSH ya da cPanel Terminal erişiminiz varsa son günlerde değişen PHP dosyalarını ve bilinen zararlı kalıpları aşağıdaki komutlarla arayabilirsiniz; yoksa Dosya Yöneticisi'nde dosyaları değişiklik tarihine göre sıralayın. Bulunan her dosyayı silmeden önce içine bakın.
4. .htaccess dosyalarını kontrol edin. Bütün klasörlerdeki .htaccess dosyalarında tanımadığınız yönlendirme ve RewriteRule satırlarını kaldırın.
5. Tanımadığınız yöneticileri silin. Kullanıcılar sayfasında rolü Yönetici olan hesapları gözden geçirin. Panelde görünmeyen gizli hesaplar için phpMyAdmin'de wp_users tablosuna ve wp_usermeta tablosundaki wp_capabilities satırlarına bakın (tablo öneki sizde farklı olabilir).
6. Veritabanını tarayın ve oturumları kapatın. wp_posts ve wp_options tablolarında içerikle ilgisi olmayan <script etiketlerini arayın. wp-config.php içindeki güvenlik anahtarlarını WordPress'in anahtar üreticisinden aldığınız yeni değerlerle değiştirin; böylece açık kalmış bütün oturumlar kapanır.

find ~/public_html -type f -name "*.php" -mtime -7 -ls
find ~/public_html/wp-content/uploads -type f -name "*.php"
grep -rlE --include="*.php" "eval\(base64_decode|gzinflate\(base64_decode" ~/public_html

Temizlikten sonra

• Her şeyi güncelleyin: WordPress, eklentiler, temalar ve PHP sürümü (8.2 veya üstü; bkz. PHP sürümünü değiştirme).
• Giriş noktasını bulun: cPanel Ölçümler → Ham Erişim (Raw Access) sayfasından erişim kayıtlarını indirip zararlı dosyalara yapılan istekleri ve şüpheli POST isteklerini inceleyin.
• Google'dan inceleme isteyin: Google Search Console'da Güvenlik ve Manuel İşlemler → Güvenlik sorunları bölümünü açın, sorunları giderdiğinizi işaretleyip İnceleme İste deyin. İnceleme birkaç gün sürebilir.
• Kalıcı önlemleri alın: Web sitesi güvenlik kontrol listesini uygulayın.

Destek talebi

Yedekten geri yükleme istiyorsanız ya da sunucu tarafında bir bulgu (ör. hesabınızdan spam gönderimi) varsa Teknik Destek'e destek talebi açın. Talebe alan adını, sorunu ilk fark ettiğiniz zamanı, gördüğünüz belirtileri, şimdiye kadar yaptıklarınızı ve geri yükleme isteniyorsa hangi tarihin yedeğini istediğinizi yazın.