Rank Math PRO'nun resmi indirme sunucusundan arka kapılı sürüm dağıtıldı, eklentiyi etkinleştiren siteler ele geçirilmiş sayılıyor

WordPress’in en yaygın SEO eklentilerinden Rank Math’in geliştiricisi, 16 Ekim’de ücretli PRO sürümünün kendi sunucularından dağıtılan bazı kopyalarına zararlı yazılım yerleştirildiğini duyurdu. Etkilenen paketler, 15 Ekim 20:02 ile 16 Ekim 07:12 UTC (Türkiye saatiyle 15 Ekim 23:02 ile 16 Ekim 10:12) arasında rankmath.com’dan indirilen ya da eklentinin kendi güncelleme sistemiyle alınan 3.0.123 sürümü. Şirket dosyaları kaldırdı ve temiz sürüm 3.0.124’ü yayımladı. WordPress güvenlik şirketi Wordfence 17 Ekim’de uyarı yayımladı, olaya 19 Ekim’de CVE-2026-111862 numarası verildi. CVSS 3.1 puanı 9.8.

Bu bir tedarik zinciri saldırısı. Site sahipleri hiçbir hata yapmadı, yalnızca eklentilerini resmi kaynağından güncelledi. Rank Math, saldırganların şirketin sistemlerine nasıl eriştiğini ve kaç sitenin etkilendiğini açıklamadı. Patchstack, saldırı üreticinin kendi sistemleri üzerinden yapıldığı için bir güvenlik duvarı kuralıyla engellenemeyeceğini belirtiyor.

Etkilenen siteler

Sürüm numarası tek başına bir şey göstermiyor. 3.0.123 aslında 7 Ekim’de yayımlanmıştı, bu tarihten önce alınan kopyalar temiz. Yalnızca yukarıdaki yaklaşık 11 saatlik aralıkta indirilen ya da güncellenen kopyalar etkileniyor. Rank Math durumu üçe ayırıyor:

• 3.0.123’ü bu aralıkta kurup etkinleştirdiyseniz, siteniz o tarihten sonra 3.0.124’e güncellenmiş olsa bile ele geçirilmiş kabul edilmeli.
• Kurdunuz ama hiç etkinleştirmediyseniz, eklenti dosyalarını silip 3.0.124’ü kurmanız ve bir güvenlik taraması yapmanız yeterli.
• Yalnızca indirdiyseniz, bu olaydan dolayı sitenizin ele geçirildiğine dair bir işaret yok.

Olay yalnızca rankmath.com’dan dağıtılan PRO eklentisini ilgilendiriyor. WordPress.org’daki ücretsiz Rank Math SEO eklentisi 4 milyondan fazla sitede kurulu ve şirketin duyurusunda adı geçmiyor.

Zararlının işlevleri

Rank Math’in duyurusuna göre zararlı, sitede kalıcı erişim kuruyor ve rank1cdn[.]com adresiyle iletişime geçiyor. Gizli arka kapı dosyalarını, siteye her ziyarette yeniden oluşturabiliyor. Bu yüzden yalnızca dosyaları silmek yetmiyor. Saldırganın şunları yapmış olabileceği belirtiliyor:

• Başka eklentilerin, temaların ve wp-content/mu-plugins klasörünün içine gizli PHP arka kapıları yerleştirmek
• “wpsupport_” ile başlayan ya da e-posta adresi @wp-mail[.]net ile biten yönetici hesapları açmak
• wp-includes/class-wp-cache-util.php adında sahte bir WordPress çekirdek dosyası eklemek
• .htaccess dosyasını, .cache uzantılı dosyaların PHP olarak çalışmasını sağlayacak şekilde değiştirmek
• Sunucuya zamanlanmış görevler ve SSH anahtarları eklemek

Sitenin erişebildiği her şifre ve anahtar da açığa çıkmış kabul edilmeli: WordPress hesapları, veritabanı şifresi, ödeme sistemi ve e-posta gönderim anahtarları, diğer API anahtarları. Saldırının kim tarafından yapıldığı açıklanmadı.

Etkilenen sürüm

• Rank Math SEO PRO 3.0.123, yalnızca 15 Ekim 20:02 ile 16 Ekim 07:12 UTC arasında indirilen ya da güncellenen kopyalar

Temiz sürüm: Rank Math SEO PRO 3.0.124. Rank Math, bu sürümün yalnızca rankmath.com’a doğrudan girip hesaptan indirilmesini istiyor ve e-postayla giriş ya da indirme bağlantısı göndermediğini vurguluyor. Olaydan sonra bu tür sahte e-postalar gelebilir.

Önerilen önlemler

Önce etkilenip etkilenmediğinizi belirleyin. WordPress yönetim panelinde Eklentiler sayfasından Rank Math PRO sürümünü ve eklentiyi ne zaman güncellediğinizi kontrol edin. Otomatik güncelleme açıksa ya da tarih aralığından emin değilseniz, sunucudaki eklenti klasörünün değiştirilme tarihine bakmak yardımcı olabilir.

Temiz bir yedeğiniz varsa en güvenli yol geri dönmek. Rank Math’in önerdiği ilk seçenek, 15 Ekim 23:02 (Türkiye saati) öncesine ait bir site ve veritabanı yedeğine dönmek, ardından güvenlik taraması yapıp bütün şifreleri değiştirmek ve en son 3.0.124’ü kurmak.

Yedek yoksa temizliği sırasıyla yapın. Sıra önemli, çünkü zararlı arka kapısını yeniden oluşturabiliyor:

1. rank-math-pro klasörünü dosya yöneticisi ya da FTP ile tamamen silin. Eklentiyi devre dışı bırakmak yetmiyor.
2. Veritabanındaki wp_options tablosunda adı _uf6qdn2hmm, t8krdk990phb ya da _np5pvf754c olan kayıtları silin.
3. Mümkünse sunucudan rank1cdn[.]com adresine giden bağlantıları engelleyin.
4. Ancak bunlardan sonra diğer izleri arayın: yukarıda sayılan şüpheli PHP dosyaları, yabancı yönetici hesapları, sahte çekirdek dosyası, .htaccess değişiklikleri, #ms6v46 etiketli zamanlanmış görevler, uploads klasöründeki PHP dosyaları ve SSH anahtarları.

Her durumda bütün şifreleri ve anahtarları değiştirin. Yedekten dönseniz bile: WordPress hesapları, wp-config.php’deki veritabanı şifresi ve güvenlik anahtarları, ödeme ve e-posta servis anahtarları, hosting paneli, FTP ve SSH şifreleri.

Wordfence, bu izlerin bulunmamasının sitenin temiz olduğunu tek başına kanıtlamadığını hatırlatıyor. Bu işlemler size yabancıysa, hosting firmanızdan ya da bir güvenlik uzmanından destek almanız öneriliyor. Temizlikten sonraki günlerde silinen dosyaların geri gelip gelmediğini ve sitenin dışarıya olağandışı bağlantılar kurup kurmadığını izleyin.