WordPress yedekleme eklentisi sızdı: sitelere arka kapı kuruldu

WordPress dünyasının en yaygın yedekleme eklentisi UpdraftPlus'ın geliştiricisi TeamUpdraft, 17-18 Ekim 2026'da web sitesinin ele geçirildiğini ve müşteri veritabanına erişilmiş olabileceğini duyurdu. Veritabanında yalnızca müşteri bilgileri değil, sitelerin uzaktan yönetildiği UpdraftCentral bağlantı anahtarları da bulunuyordu. Saldırgan bu anahtarları kullanarak, 18-19 Ekim gecesi bağlı sitelere meşru yönetim komutları gibi görünen talimatlar gönderdi.

Gönderilen talimatlar sitelere zararlı eklentiler kurdurdu. Güvenlik firması Patchstack, hepsi "Small maintenance toolkit: keeps option storage tidy" açıklamasını taşıyan 99 farklı rastgele eklenti adı tespit etti; bazıları "Site Health Cache" gibi bakım aracı görünümündeydi. Eklenti, siteye Editör rolünde bir kullanıcı açıp ardından bu hesaba yönetici yetkileri veriyor. Böylece hesap listesinde sıradan bir editör gibi duruyor, ancak normal giriş ekranını, iki adımlı doğrulamayı ve giriş deneme sınırlarını baypas eden bir arka kapı olarak çalışıyor.

Kimler etkileniyor?

• Yalnızca UpdraftCentral Cloud bağlantısı aktif olan siteler hedefte. Eklentinin kurulu olması tek başına etkilenmek anlamına gelmiyor; kendi sunucunuzda barındırdığınız UpdraftCentral kurulumları kapsam dışında.
• Ücretsiz ve ücretli sürümlerin ikisi de etkilendi.
• Birçok site sahibi bağlantının farkında bile değil: TeamUpdraft hesabına bağlanırken uzaktan yönetim varsayılan olarak açılıyordu.
• Güvenlik araştırmacısı Nethemba, UpdraftCentral anahtarı taşıyan site sayısını 400 bine kadar tahmin ediyor. Kaç sitenin fiilen arka kapı aldığı açıklanmadı.

TeamUpdraft 19 Ekim'de düzeltilmiş sürümleri yayımladı: ücretsiz sürüm için UpdraftPlus 1.26.13, ücretli sürüm için 2.26.13. Güncelleme eski UpdraftCentral anahtarlarını iptal ediyor ve etkilenen siteleri bağlantıdan koparıyor. Ancak kritik nokta şu: güncelleme, daha önce kurulmuş zararlı eklentiyi ve açılmış yönetici hesabını silmiyor. Yani "güncelledim, geçti" demek mümkün değil.

Türkiye'de kurumsal web sitelerinin büyük bölümü WordPress üzerinde çalışıyor ve bu siteler çoğu zaman şirketin en az ilgilenilen BT varlığı. Kurumsal site, form üzerinden gelen teklif talepleri, İK başvuruları ve müşteri iletişim verileriyle birlikte aynı sunucuda durduğunda, bir arka kapı yalnızca sayfa tahrifatı değil veri ihlali anlamına gelir. UpdraftPlus eklentisi Search Engine Journal'ın aktardığına göre 3 milyonu aşkın sitede kullanılıyor; bu, Türkiye'deki ajans ve hosting portföylerinde de yoğun biçimde karşımıza çıkan bir eklenti.

Kamer Bilişim olarak ne öneriyoruz?

• Önce anahtarı temizleyin, sonra güncelleyin. Eklentiyi 1.26.13 / 2.26.13 veya üzerine yükseltin; ardından Ayarlar > UpdraftPlus > Gelişmiş Araçlar > UpdraftCentral altında kalan bağlantı anahtarlarını silin. Paneli üzerinden siteyi kaldırmak yeterli değil.
• Kullanıcı ve eklenti listesini elle denetleyin. 17 Ekim sonrası eklenen kullanıcıları, özellikle yönetici yetkisi taşıyan Editör hesaplarını ve tanımadığınız eklentileri arayın. Yetkisiz hesap bulursanız siteyi 17 Ekim öncesi bir yedekten geri dönmeyi değerlendirin ve tüm yönetici parolalarını değiştirin.
• Siteyi bakım kapsamına alın. Yedekleme ve güncelleme eklentileri, sunucuya en yüksek yetkiyle erişen bileşenlerdir; tedarik zinciri saldırısında ilk kullanılan kapı da bunlardır. Eklenti envanteri, sürüm takibi ve site dışında tutulan bağımsız yedek, kurumsal sitede de sunucuda olduğu kadar gereklidir.

Kurumsal web sitenizin hangi eklentileri kullandığını, bu olaydan etkilenip etkilenmediğini ve yedeklerinizin geri dönülebilir durumda olup olmadığını birlikte kontrol edebiliriz. İstanbul Anadolu Yakası'nda yerinde, diğer lokasyonlarda uzaktan destek veriyoruz. Talebinizi iletmek için iletişim sayfamızı kullanabilirsiniz.

Kaynak: Search Engine Journal, 21 Ekim 2026; Patchstack ve Nethemba bulguları; TeamUpdraft olay bildirimi.