UpdraftPlus'ın geliştiricisine girildi, ele geçirilen bağlantı anahtarlarıyla WordPress sitelerine zararlı eklenti kuruldu

4 milyondan fazla WordPress sitesinde kurulu yedekleme eklentisi UpdraftPlus’ı geliştiren TeamUpdraft, 19 Ekim’de teamupdraft.com sitesine 17-18 Ekim hafta sonu yetkisiz erişim olduğunu açıkladı. Şirket, müşteri veritabanına erişildiğini düşünüyor. Bu veritabanında adlar, e-posta ve fatura adresleri, sipariş geçmişi, şifrelerin özet (hash) değerleri, iki adımlı doğrulama ayarları ile UpdraftCentral, UpdraftVault ve UpdraftClone hizmetlerinin bağlantı anahtarları bulunuyordu. Kart bilgileri tutulmuyordu, ödemeler Stripe ve PayPal üzerinden alınıyor. TeamUpdraft olayı İngiltere’nin veri koruma otoritesi ICO’ya bildirdi.

Olayın asıl ağır tarafı bağlantı anahtarları. UpdraftCentral, birden fazla WordPress sitesinin yedeklerini, eklentilerini, temalarını ve kullanıcılarını tek bir panelden yönetmeye yarayan bir hizmet. Bir site bu hizmete bağlandığında, UpdraftPlus panelden gelen ve doğru anahtarla imzalanmış komutları güvenilir sayıp çalıştırıyor. Saldırganlar geçerli anahtarlarla tam olarak bunu yaptı.

Saldırının yöntemi

Güvenlik şirketi Nethemba, kendi yönettiği üç sitede yaşananları yayımladı. 19 Ekim’in ilk saatlerinde bu sitelere, geçerli anahtarlarla imzalanmış “eklenti yükle” komutu geldi ve WordPress tanınmayan bir eklenti kurdu. Sitelerden ikisine arka kapı yerleşti. Üçüncüsünde saldırı başarısız oldu, çünkü bağlantıyı kuran kullanıcının eklenti kurma yetkisi yoktu. Nethemba anahtarların nasıl sızdığını kendisinin belirleyemediğini söylüyor.

Wordfence’e göre komutlar gerçek anahtarlarla imzalandığı için, Haziran’da kapatılan ayrı bir UpdraftCentral açığının (CVE-2026-10795) düzeltmesini içeren güncel sürümler de bu komutları geçerli saydı. Wordfence’e gelen bildirimlerde zararlı eklenti kurulumları UpdraftPlus Premium 2.26.11 ile ücretsiz 1.26.10 ve 1.26.11 sürümlerinde görülmüş.

Kurulan eklentiler sıradan bir yardımcı araç gibi görünüyor ve rastgele görünen adlar taşıyor: Load Stack 35C, Text Gantry Eb0, style-bridge-8f5 bunlardan bazıları. Nethemba’nın incelediği ilk örnek, gizli bir adrese gelen istekle “Editör” gibi görünen ama site ayarlarını değiştirip eklenti kurabilen bir hesap açıyor ve saldırganı iki adımlı doğrulamayı atlayarak oturuma sokuyor. Eklenti silinse bile bu hesap kalıyor. İkinci, çalışan bir türün ise bir yöneticiyi kullanıcılar sayfasından gizleyebildiği ya da yeni hesap açmadan saldırganı mevcut ilk yönetici olarak oturuma sokabildiği belirtiliyor. Bu durumda geride yalnızca eklenti dosyası ve sunucu kayıtları iz olarak kalabiliyor. Bazı örneklerdeki bir kodlama hatası siteleri “kritik hata” ile çökertti. Nethemba saldırıyı bu sayede fark etti, ama Wordfence sitenin normal çalışmasının temiz olduğu anlamına gelmediğini vurguluyor.

Risk altındakiler

UpdraftCentral’a bağlanmayı sağlayan parça hem ücretsiz hem Premium sürümde bulunuyor. Ancak bu parça, sitede bir bağlantı anahtarı yoksa komut kabul etmiyor. Risk altında olanlar, TeamUpdraft’ın bulut tabanlı UpdraftCentral hizmetine bağlanmış siteler. Nethemba, şirketin Haziran’da kullanıcıların yüzde 10’undan azında bu tür bir anahtar bulunduğunu söylediğini hatırlatıyor ve bunun 400 bine kadar site anlamına gelebileceğini hesaplıyor. Saldırganın kaç siteye ulaştığı bilinmiyor.

Bir ayrıntı önemli: Wordfence’e göre UpdraftPlus 1.26.11, kullanıcı TeamUpdraft hesabını eklentiye bağladığında siteyi UpdraftCentral’a ekleme seçeneğini işaretli olarak sunuyor. Yani sahibi hatırlamasa da bir site UpdraftCentral’a bağlanmış olabilir. TeamUpdraft’ın açıklamasına göre teamupdraft.com hesabı olmayan ücretsiz sürüm kullanıcılarının bu olay için bir şey yapması gerekmiyor.

Şirkete göre UpdraftPlus eklentisi ve indirme paketleri etkilenmedi. Google Drive, Dropbox, Amazon S3 gibi kullanıcının kendi depolama alanına gönderilen yedekler de etkilenmedi. Ancak bir siteye UpdraftCentral üzerinden erişildiyse, bu depolama bağlantılarının yeniden yetkilendirilmesi ve erişim anahtarlarının değiştirilmesi öneriliyor. UpdraftCentral’ı kendi sunucusunda çalıştıranlar bu olaydan etkilenmedi.

Olay, Rank Math PRO’da 16 Ekim’de duyurulan olaydan sonra WordPress dünyasında bir hafta içindeki ikinci tedarik zinciri saldırısı. İkisinde de site sahipleri bir hata yapmadı, saldırı güvendikleri eklenti üreticisinin sistemleri üzerinden geldi.

Önerilen önlemler

Önce sitenizin bağlı olup olmadığına bakın. Sitenin kendi WordPress paneline doğrudan girin, UpdraftCentral üzerinden girmeyin. Ayarlar > UpdraftPlus > Gelişmiş Araçlar > UpdraftCentral bölümünde “Manage existing keys” yanında bir ya da daha fazla anahtar görünüyorsa site bu olaydan etkilenmiş olabilir. Anahtarın şu an bulunmaması, daha önce komut gelmediğini kanıtlamıyor.

Bağlı sitelerde, her site için ayrı ayrı:

1. Eklentiyi UpdraftPlus 1.26.12 (ücretsiz) ya da 2.26.12 (Premium) veya daha yeni bir sürüme güncelleyin. Bu sürümler 18 Ekim 21:00 UTC’den (19 Ekim 00:00, Türkiye saati) önce kurulan UpdraftCentral bağlantılarını otomatik olarak koparıyor.
2. UpdraftCentral bölümündeki bütün bağlantı anahtarlarını silin. Siteyi yalnızca UpdraftCentral panelinden kaldırmak yetmiyor, belirleyici olan sitedeki anahtar.
3. teamupdraft.com şifrenizi, adresi tarayıcıya kendiniz yazarak değiştirin. Aynı şifreyi başka yerde de kullanıyorsanız orada da değiştirin, iki adımlı doğrulamayı sıfırlayın. TeamUpdraft şifre ya da anahtar isteyen bir mesaj göndermeyeceğini söylüyor, bu konuda gelecek e-postalara dikkat edin.
4. Bir şey silmeden önce UpdraftCentral kayıtlarını, sunucu erişim kayıtlarını ve şüpheli dosyaların kopyalarını saklayın.
5. Eklenti ve kullanıcı listelerini yalnızca WordPress panelinden değil, hosting panelinden ya da FTP ile dosya sistemi ve veritabanı üzerinden de kontrol edin. Wordfence, zararlının panelde görünen listeleri gizleyebildiğini hatırlatıyor. wp-content/plugins ve wp-content/mu-plugins klasörlerine, 18-19 Ekim civarında oluşmuş ya da değişmiş dosyalara özellikle bakın.
6. Şüpheli bir şey bulursanız ya da sitenin temiz olduğundan emin olamıyorsanız, 17 Ekim öncesine ait temiz bir yedeğe dönün.
7. İnceleme ve temizlikten sonra bütün yönetici şifrelerini değiştirin, açık oturumları kapatın. Site ele geçirildiyse hosting, FTP ve veritabanı şifrelerini de değiştirin.
8. Siteyi UpdraftCentral’a ancak bunlardan sonra yeni bir anahtarla yeniden bağlayın.

Kayıtlarda aranacak izler. UpdraftCentral kayıtlarında “Command received: plugin.upload_plugin” ya da “plugin.delete_plugin” satırları, 43.250.53.42 ve 2a09:bac5:4e21:2e3c::49b:9 adreslerinden gelen istekler ve “WordPress/6.4; class-udrpc.php” tarayıcı bilgisi saldırıyla ilişkilendirildi. Açıklamasında “Small maintenance toolkit: keeps option storage tidy.” yazan eklentiler ile görünen adı “Site Tools” olan ya da @example.org adresli kullanıcılar da şüpheli bulgular arasında. Saldırgan bu değerleri değiştirebildiği için bunların bulunmaması sitenin temiz olduğunu göstermiyor.

UpdraftVault kullananların siteleri de hizmetten koparıldı ve yeni erişim bilgileri verildi. Ayarlar > UpdraftPlus > Ayarlar bölümünden Vault yeniden bağlanmadan yedekler buraya gitmeyecek. UpdraftClone anahtarlarının hepsi değiştirildi, müşterileriyle anahtar paylaşanların yenilerini hesaplarından alıp iletmesi gerekiyor.

Wordfence, ücretli müşterilerinden birkaç saat sonra ücretsiz kullanıcılarına da bu komut kanalını geçici olarak kapatan bir güvenlik duvarı kuralı gönderdi. Kural güncellenmiş sürüm kurulana kadar meşru UpdraftCentral komutlarını da engelliyor, olağan yedeklemeleri etkilemiyor. Ancak kural devreye girmeden önce kurulmuş bir zararlıyı temizlemiyor.