WordPress 6.8 güvenlik sürümleri

Üç haftada üç güvenlik sürümü

WordPress.org, 6.8 dalında 2026 sonbaharında üç güvenlik sürümü yayımladı. 6.8.9, 17 Eylül 2026’dadır. 6.8.10, 22 Eylül 2026’dadır. 6.8.11, 6 Ekim 2026’dadır. Üçünün de notu aynı cümleyle biter: güvenlik sürümüdür, siteleri hemen güncelleyin. Bu yazı, o notlardaki kusur sınıflarını site sahibine anlatır. İstismar adımı yoktur.

6.8’in kendisi 15 Nisan 2025’te “Cecil” adıyla çıkmıştı. Bakım sürümleri yeni blok eklemez. Açık kapatır. 6.8.11 notu, düzeltmelerin etkilenen eski dallara da nezaket olarak taşındığını yazar. Aynı not, etkin desteklenen sürümün en güncel WordPress olduğunu hatırlatır. Bu yazı yazılırken indirme arşivinin son ana sürümü 7.0’dır, 20 Mayıs 2026. 6.8.11, 6.8’de kalan siteler içindir. Yeni kurulumun hedefi 7.0’dır. 7.0’ın ne getirdiği Armstrong yazısındadır.

6.8.9 ne kapattı?

17 Eylül sürümünde birden fazla düzeltme vardır. WordPress.org teşekkür listesi kusurun sınıfını yazar. Biri, hazırlanmış bir adresin WordPress.org üzerinden tema kurup önizlemesine izin veren bir yoldur. Biri, bazı temalarda özel üst görselde saklanan XSS’tir. Biri, gizli bir üst yazının başlığının açığa çıkmasıdır. Biri, HTML yorumunun dışına taşabilen bir HTML API sorunudur.

Çoklu sitede, site yöneticisinin yalnızca ağa özel bir eklentiyi ağ genelinde açabildiği bir yol kapatıldı. Katkıda bulunan rolüne bağlı iki kayıt daha vardır: yazının üzerine yazma ve taslak ile bekleyen yazıların kısa adresinin görünmesi. REST API şablon denetleyicisinde kimliği doğrulanmış bir yol sorunu da listede. Oturum açmış herhangi bir kullanıcının yorumları, notlar dahil, yeniden üstlenebildiği bir yetki sorunu var. XML-RPC tarafında, değişiklik setinin özel CSS yetki kontrolünü atladığı bir yol var. Yorum onayı şartına bağlı, paragraf biçimlendirmesinden gelen ve oturum istemeyen saklı bir XSS de notta duruyor.

Bu liste “hepsi her sitede uzaktan çalışır” demek değildir. Kimisi katkıda bulunan rolü ister, kimisi yorum onayı ister, kimisi çoklu site ister. Site sahibi için sonuç değişmez. Dal etkileniyorsa sürüm eski kalmaz. Hangi rolün sizde açık olduğunu tek tek denemek, yama beklemenin gerekçesi değildir.

6.8.10 ve 6.8.11

22 Eylül sürümü tek bir düzeltme taşır. Not, sayfa şablonu çözümlemesinde kimlik doğrulamasız bir yol sorunu yazar ve bunun koşullu uzaktan kod çalıştırmaya gidebildiğini söyler. Bildiren Robert Ressl’dir. Değişen dosya şablon çözümlemesidir. Ayrıntı, yamanın kendisindedir. Bu yazıda istek örneği yoktur.

6 Ekim sürümü yedi düzeltme sayar. Yorumlar yönetim ekranında, bekleyen yorum üzerinden saklı XSS. WP_Http içinde mutlak adres kuran metotta bir hizmet reddi. WXR dışa aktarmada ikinci dereceden bir SQL enjeksiyonu. Yazar rolünün yazıyı sabitleyebilmesi. Gizli ve yayımlanmamış yazılardaki yorumların oturumsuz açığa çıkması. Imgur gömülerinde XSS. Durum kancasına geçirilen parametrelerin sahtelemesiyle eylem adı çakışması. Bildirenler arasında Trail of Bits, OpenAI, Anthropic, Patchstack ve WordPress güvenlik ekibi vardır.

Imgur gömüsü kullanmıyorsanız o satır sizin temanızda görünmeyebilir. Yorumlar kapalıysa bekleyen yorum yolu daralır. Yine de çekirdek dosyası ortaktır. Gömmeyi silmek, 6.8.11’i kurmanın yerine geçmez. Diğer altı kayıt gömmeye bağlı değildir.

Güncelleme sırası

Önce yedek. Sonra Yönetim, Güncellemeler ekranından çekirdek. Ardından eklenti ve tema. Otomatik güncelleme kapalıysa bu üç satır elle yapılır. Güvenlik sürümünü “bakım penceresine bırakmak” 6.8.10’daki gibi bir notun yanında zayıf bir plandır. WordPress.org “hemen” diyor.

Güncelleme yarıda kalırsa bakım kipi veya beyaz ekran görülebilir. Bunun için kopya sitede bir kez denemek iyidir. Deneme kopyası yoksa en azından yedek tarihi o günün tarihi olsun. Geri dönüş, veritabanı sürümü değişmediyse dosya kopyasıyla yapılır. Güvenlik sürümleri çoğu zaman şema değiştirmez. Yine de yedeği atlamayın. Eklenti, çekirdekten önce güncellenip çakışırsa hatayı ayırmak zorlaşır. Sıra: yedek, çekirdek, eklenti, tema.

Eski bir dalda kalmak ayrı bir karardır. 6.8.11 notu, etkin desteğin en güncel sürümde olduğunu yazar. 6.8’de birikmiş yamalar, 7.0’ın özellik listesinin yerine geçmez. Eklentiniz 7.0’ı henüz yazmıyorsa yazarı beklerken 6.8 dalının son güvenlik sürümünde durun. O bekleme süresiz değildir. PHP tarafı da aynı tarihe bağlıdır. Ayrıntı PHP yazısında.

Yedek OwnHost kartında ne yazar?

WordPress hosting sayfasında Personal haftalık yedekleme yazar. Pro günlük yedekleme ve staging yazar. Güvenlik sürümünü denemek için staging satırı Pro’dadır. Personal’da o satır yoktur. Ek yedekleme hizmeti sayfada aylık 0,99 dolar olarak durur. Elle geri yükleme de ayrı bir satırdır. Paketteki yedek, güncellemeyi sizin yerinize kurmaz. Kurulum yine panelden yapılır.

Tek tıkla WordPress kurulumu yeni site içindir. Kurulu sitenin 6.8.11 veya 7.0’a geçişi o düğmenin tekrarı değildir. Geçişi Güncellemeler ekranı yapar. Taşıma ücretsiz satırı, başka firmadan gelen site içindir. Güvenlik yamasının kapsamı değildir.

Mağaza varsa WooCommerce’i aynı pencerede okuyun. 11.2.0, 7 Ekim 2026’da kendi güvenlik düzeltmelerini taşıdı. Çekirdek 6.8.11 ile eklenti 11.2 ayrı paketlerdir. İkisi de Ekim ayındadır. Mağaza yazısı buradadır. Çekirdeği güncelleyip eklentiyi eski bırakmak, Ekim notlarının yarısını açık bırakır.