Barındırıcım güvenlik duvarının yeterli olduğunu söylüyor: doğru mu

Bir uygulama güvenlik duvarı gerçekte ne yapar

Uygulama güvenlik duvarı, ziyaretçi ile mağazanız arasına girer: istekleri kodunuza ulaşmadan önce okur. Üç alanda çalışır. Bilinen ve kataloglanmış saldırı kalıplarını tanır ve bunlara benzeyen istekleri reddeder. Hızı sınırlar, yani aynı kaynağın belirli bir sürede gönderebileceği istek sayısını kısıtlar. Ve bir kaynağın tamamını, adres veya itibar üzerinden, müşteri gibi değil otomatik araç gibi davrandığında engeller.

Bu az bir şey değil ve rakamlar bunu gösteriyor. Mart 2026’da düzeltilen bir WordPress form eklentisindeki kritik açıkta Wordfence 29.300’den fazla istismar denemesini engelledi. Yaklaşık 100.000 sitede kurulu bir e-posta bağlayıcısındaki açıkta toplam 17 milyon denemeyi aştı; 6 ve 7 Haziran 2026’da tek bir günde 4 milyondan fazla istek engellendi. Bir istatistik eklentisindeki kimlik doğrulama atlatmasında 24 saatte 7.400’den fazla saldırı engellendi. Bu filtreleme çalıştığında ciddi bir gürültüyü ve bazen bir ele geçirilmeyi emer.

Bu marjinal bir görüş de değil. Üçüncü taraf PrestaShop modüllerini hedefleyen SQL enjeksiyon saldırısı dalgasının ardından proje tarafından yayınlanan öneriler, uygulama güvenlik duvarı kurulumunu açıkça sayıyor: tüm yerel ve üçüncü taraf modüllerin güncellenmesi, özel bir veritabanı ön eki kullanılması ve düzenli yedekleme ile birlikte. Güvenlik duvarı orada bir listenin maddesi olarak geçiyor, listenin kendisi olarak değil.

Yapamadığı şeyler

Güvenlik duvarı biçimleri tanır. Bir açığın istismarı sitenin normal kullanımıyla aynı biçime büründüğünde, tanıyacak bir şey kalmaz. Bu sayfanın en önemli noktası budur ve belgelenmiştir: PrestaShop için bir açılır pencere modülünde güvenlik bildirimi, denemelerin site günlüklerinde sıradan POST / istekleri olarak göründüğünü ve özel bir araç olmadan ayırt edilmelerinin çok zor olduğunu belirtiyor. Aynı bildirim güvenlik duvarı kuralları öneriyor — ancak modül güncellemesine ek olarak, asla onun yerine değil.

Yapısı gereği kaçırdığı üç durum daha var:

• Zaten kurcalanmış bir eklenti. Zararlı kod yayıncının kendi dağıtım kanalından geldiğinde ve sunucu tarafında çalıştığında, filtrelenecek şüpheli bir gelen istek yoktur.
• Meşru ama kötü korunan bir uç noktadan sızıntı. Herkese okunabilir bırakılmış bir günlük klasörü veya yetkileri denetlemeden yanıt veren bir API uç noktası, kusursuz biçimlendirilmiş bir isteğe yanıt verir. Filtre açısından engellenecek bir şey yoktur.
• Geçerli kimlik bilgileriyle elde edilen erişim. Güvenlik duvarı, meşru bir yöneticiyi o yöneticinin parolasını kullanan bir saldırgandan ayıramaz.

Ekosistem ölçeğinde bu sayısallaştırılmıştır. Patchstack’in 2025 yılına ilişkin raporu, saldırıların yüzde 26’dan azının barındırma sağlayıcılarının korumaları tarafından engellendiğini belirtiyor. Bu gerçek bir paydır; ama kapsama değildir.

Gerçekten belirleyici olduğu durum: yama öncesi pencere

Filtrelemenin sonucu gerçekten değiştirdiği tek bir durum vardır: bir açığın yayınlanması ile düzeltmeyi uygulayabildiğiniz an arasındaki süre. Bu pencere kuramsal değildir. Aynı rapora göre toplu istismara kadar geçen ortanca süre 5 saattir ve yüksek etkili açıkların yaklaşık yarısı açıklanmasından sonraki 24 saat içinde istismar edilir. Hiçbir mağaza beş saatte güncellenmez: yedek alınır, uygulanır, test edilir ve sipariş sürecinin ayakta kaldığı doğrulanır.

Geçici bir önlem burada anlam kazanır. 17 Temmuz 2026’da yayınlanan acil WordPress güncellemesinde Tenable, geçici önlemler arasında ilgili toplu REST API uç noktasının uygulama güvenlik duvarı seviyesinde engellenmesini ve bu uç noktaya yönelik denemelerin izlenmesini saydı. Önemli olan kelime «geçici»dir: kilit takılana kadar bir kapı engellenir, kapının onarıldığı varsayılmaz. WordPress.org ayrıca ilgili sürümlerde zorunlu otomatik güncellemeleri etkinleştirdi; bu da sorunu asıl neyin çözdüğünü yeterince açık söylüyor.

Yani bir güvenlik duvarı size zaman kazandırır ve bu zamanın değeri, hemen güncelleyemediğinizde ortaya çıkar: düzeltme bir modülü bozuyorsa, bakım planlanmışsa veya henüz bir düzeltme yoksa. Sonrasında güncellemeyi hiç düşünmüyorsanız size hiçbir şey kazandırmaz.