📑 İçindekiler

    Son iki ayda WordPress dünyasında art arda dört büyük olay yaşandı: aktif olarak istismar edilen iki eklenti açığı, güncelleme paketinin kendisine zararlı kod yerleştirilen bir tedarik zinciri saldırısı ve üreticisinin duyurusuna göre bir uzaktan yönetim hizmetinin bağlantı anahtarlarının ele geçirilmiş olabileceği bir olay. Olaylar birbirinden farklı, ama ortak bir cümleleri var. Üreticilerin ve güvenlik firmalarının önerilerinde aynı ifade tekrar tekrar geçiyor: "Olaydan önce alınmış temiz bir yedekten geri yükleyin."

    Bu yazıda dört olayı kısaca özetliyor, sonra asıl soruya geçiyoruz: güncelleme yetmediğinde temiz yedeğe nasıl ve hangi sırayla dönülür?

    Bricksforge: kimlik doğrulamasız PHP yükleme

    Bricks Builder için geliştirilen Bricksforge eklentisindeki CVE-2026-85097 açığı (açık kaydına göre CVSS 10,0), oturum açmamış bir saldırganın siteye PHP dosyası yükleyip çalıştırmasına izin veriyordu. Eklenti, form üzerinden yüklenen dosyanın türünü kontrol ediyor ama ardından istemcinin gönderdiği bilgiye güveniyordu; saldırganlar hem GIF hem PHP olarak okunabilen dosyalarla bu kontrolü aşıyordu.

    • Etkilenen sürümler: Açık kaydına göre 3.1.8.9 ve öncesi. Düzeltme, üreticinin sürüm notlarında 3.1.8.10 olarak geçiyor; güncellemeden önce üreticinin duyurusundan teyit edin.
    • İstismar: Patchstack ilk saldırıları 7 Ekim 2026'da tespit etti. Saldırıların otomatik araçlarla, onlarca farklı IP adresinden yapıldığı görülüyor.
    • Kontrol edilecek yer: /wp-content/uploads/bricksforge/tmp/ klasöründe beklenmeyen PHP dosyaları.

    Rank Math PRO 3.0.123: güncellemenin kendisi zararlıydı

    Bu olay diğerlerinden daha rahatsız edici, çünkü kullanıcıların yaptığı her şey doğruydu. Üreticinin duyurusuna göre Rank Math PRO'nun 3.0.123 sürümüne ait bazı paketler, 15 Ekim 2026 20:02 ile 16 Ekim 2026 07:12 (UTC) arasında zararlı kod içerecek şekilde dağıtıldı. Bu aralıkta eklentiyi güncelleyen ve etkinleştiren siteler, güncel kalmaya çalışırken ele geçirildi.

    Üreticinin açıklamasına göre zararlı kod; kalıcı erişim sağlayabiliyor, kimlik bilgilerini ve API anahtarlarını açığa çıkarabiliyor, her sayfa ziyaretinde gizli bir arka kapıyı yeniden oluşturabiliyor, sahte WordPress çekirdek dosyaları bırakabiliyor, .htaccess dosyasını değiştirip .cache uzantılı dosyaları PHP olarak çalıştırabiliyor ve zamanlanmış görevler ekleyebiliyordu.

    Kendini yeniden yaratan bir arka kapıyı elle temizlemek son derece zordur. Bu yüzden üreticinin ilk önerisi açık: etkilenen siteler ele geçirilmiş kabul edilmeli ve olaydan önce alınmış temiz bir yedekten geri yüklenmelidir. Yedek yoksa önerilen yol, uzun bir elle temizlik listesi ve ardından bütün parolaların değiştirilmesi. Üreticinin duyurusuna göre temiz sürüm 3.0.124 olarak yayımlandı.

    UpdraftCentral: bağlantı anahtarlarının ele geçirilmiş olabileceği duyuruldu

    Üreticinin duyurusuna göre popüler yedekleme eklentisi UpdraftPlus'ın geliştiricisi TeamUpdraft, 17–18 Ekim hafta sonunda web sitesine yetkisiz erişim tespit etti ve bir müşteri veritabanına erişilmiş olabileceğini açıkladı. Duyuruya göre bu veritabanında, siteleri uzaktan yönetmeye yarayan UpdraftCentral bağlantı anahtarları da bulunuyor olabilirdi. Olayın kapsamı ve güncel durumu için üreticinin kendi duyurusunu esas alın.

    Patchstack'in raporuna göre saldırgan, ele geçirildiği düşünülen anahtarlarla bağlı WordPress sitelerine 18 Ekim'den itibaren arka kapı eklentileri yüklemeye başladı. Rapordaki önemli ayrıntı şu: komutlar geçerli anahtarlarla imzalandığı için bu bir eklenti açığı değil; dolayısıyla tek başına eklentiyi güncellemek ilk aşamada saldırıyı durdurmuyordu. TeamUpdraft daha sonra olay öncesinde kurulmuş bağlantıları koparan güncellemeler yayımladı (sürüm numaraları kaynaklar arasında farklı geçtiği için üreticinin kendi duyurusunu esas alın).

    Önerilen adımlar: UpdraftCentral anahtarlarını silmek, tanımadığınız eklentileri ve gizli yönetici hesaplarını aramak, yönetici parolalarını değiştirmek, uzak depolama bağlantılarını yeniden yetkilendirip anahtarlarını yenilemek. Sitede ele geçirilme izi varsa öneri yine aynı: 17 Ekim öncesine ait bir yedekten geri yüklemek.

    Bu olayın her site sahibine sorduğu soru ürün bağımsızdır: Kullandığınız yedekleme ya da yönetim aracı sitenizde uzaktan neler yapabiliyor ve bu yetkiyi veren anahtar nerede duruyor? Uzaktan yönetim kolaylık sağlar; ama o anahtar, sitenize açılan bir kapının anahtarıdır.

    Elementor Pro: Ağustos'ta yamalandı, Eylül'de saldırı altında

    Üreticinin sürüm notlarına göre Elementor Pro'daki CVE-2026-32475 açığı 4.2.1 ve önceki sürümleri etkiliyordu ve 19 Ağustos'ta yayımlanan 4.2.2 ile kapatıldı. Yama haftalardır ortadayken saldırganlar güncellenmemiş siteleri hedeflemeyi sürdürdü; güvenlik firması Defiant 190.000'i aşkın istismar denemesini engellediğini açıkladı. Ders tanıdık: yamanın yayımlanması, sitenizin yamalandığı anlamına gelmez.

    📊 Büyük resim

    Wordfence'in 2026'nın ikinci çeyreği raporuna göre bu üç ayda 2.073 WordPress açığı yayımlandı, yüksek riskli açıkların sayısı bir önceki çeyreğe göre %15,2 arttı ve yaklaşık 573.000 WordPress sitesi ele geçirildi. Tek tek olaylar değil, kalıcı bir tablo söz konusu.

    Ortak ders: güncelleme ileriyi korur, geriyi temizlemez

    Dört olayın hepsinde güncelleme gerekli ama yetersiz. Güncelleme yeni saldırıları engeller; daha önce bırakılmış arka kapıları, gizli yönetici hesaplarını ve değiştirilmiş dosyaları ortadan kaldırmaz. Rank Math örneğinde ise güncellemenin kendisi saldırının taşıyıcısıydı. Geriye dönük temizliğin en güvenilir aracı, olaydan önceki temiz bir kopyadır.

    Temiz yedeğe dönüş: doğru sıra

    1. Mevcut yedekleri koruyun. Yeni (muhtemelen virüslü) yedeklerin eski temiz kopyaları saklama kuralı gereği silmesine izin vermeyin; olay öncesi kopyaları ayırın.
    2. Olay tarihini belirleyin. Bricksforge için 7 Ekim, Rank Math için 15 Ekim akşamı, UpdraftCentral için 17 Ekim. Bu tarihten önceki en yakın doğrulanmış yedeği seçin.
    3. Geri yükleyin — ama siteyi henüz trafiğe açmayın. Bakım modunda kalın.
    4. Açığı hemen kapatın. Bu adım sıklıkla unutulur: 7 Ekim öncesine dönen bir site, açığı olan Bricksforge 3.1.8.9 ile geri gelir. Geri yüklemenin hemen ardından ilgili eklentiyi güvenli sürüme yükseltin; yoksa birkaç saat içinde yeniden ele geçirilirsiniz.
    5. Sırları değiştirin. Yönetici parolaları, veritabanı parolası, wp-config.php güvenlik anahtarları, API ve depolama anahtarları.
    6. Aradaki veriyi değerlendirin. Olay tarihi ile bugün arasındaki siparişler, üyelikler ve form kayıtları geri yüklenen kopyada yoktur. E-ticaret sitelerinde bu boşluğu ödeme sağlayıcınızın kayıtlarından ve sipariş e-postalarından tamamlayın.
    7. Siteyi açın ve izleyin. Birkaç gün boyunca yeni yönetici hesaplarına ve değişen dosyalara göz kulak olun.

    Saklama süresi neden belirleyici?

    Bricksforge saldırıları 7 Ekim'de başladı. Sitenizin ele geçirildiğini 25 Ekim'de fark ettiğinizi ve hosting firmanızın yedekleri 7 gün sakladığını düşünün: elinizdeki bütün yedekler virüslüdür. Ele geçirilmeler çoğu zaman haftalar sonra fark edilir. Bu yüzden yalnızca "her gün yedek" değil, haftalar geriye uzanan yedek gerekir.

    Yedekalma ile nasıl hazırlanırsınız?

    • Ücretsiz WordPress eklentisi ile dosya ve veritabanı yedekleri otomatik alınır. Eklenti yedekleri varsayılan olarak sitenizin hostinginde tutar; siteyi Yedekalma hesabınıza bağlayıp Google Drive, S3, OneDrive ya da Dropbox'ı hedef seçerseniz yedekler sitenizin sunucusunda değil orada durur. Yedekleri sitenin kendi sunucusunda tutmak bu korumayı vermez — siteye giren saldırgan yedeklere de ulaşabilir; olay öncesi kopyanın saldırgandan uzak kalması için uzak bir hedefe geçin. WordPress eklentisine göz atın
    • Doğrulanmış geri dönüş noktaları: Her yedek 8 katmanda otomatik doğrulanır; her alan adının en son yedeği de sırayla, periyodik geri yükleme tatbikatıyla sınanır. Olay öncesine ait belirli bir kopyaya dönmeden önce onu bir test ortamına geri yükleyerek açıldığını doğrulayın.
    • Silinemez kopya (WORM): Object Lock açık bir S3 kovasında, bağlantı anahtarlarınız çalınsa bile kilitli kopya süre dolana kadar silinemez.
    • Kısmi geri yükleme: Sihirbazla dosyaları ve veritabanını birlikte ya da ayrı ayrı geri getirebilirsiniz.

    Henüz bağımsız bir yedeğiniz yoksa ücretsiz deneyin; sıradaki olay geldiğinde hangi tarihe döneceğinizi seçebilecek durumda olun.

    Konuyla ilgili sayfalar: WordPress yedekleme · WordPress hacklendi: ne yapmalı? · güncellemeden önce yedek

    Sık Sorulan Sorular

    Otomatik eklenti güncellemelerini kapatmalı mıyım?

    Genel olarak hayır. Saldırıların büyük çoğunluğu yaması çoktan yayımlanmış açıkları hedefler; Elementor Pro örneğinde yama haftalardır ortadaydı. Rank Math gibi tedarik zinciri saldırıları istisnadır. Doğru denge, güncellemeleri açık tutmak ve her zaman geri dönebileceğiniz, geriye haftalarca uzanan bağımsız yedeklere sahip olmaktır.

    Zararlı eklentiyi silmek yetmez mi?

    Çoğu zaman yetmez. Rank Math PRO 3.0.123 örneğinde zararlı kod sahte çekirdek dosyaları, zamanlanmış görevler ve her ziyarette kendini yeniden oluşturan bir arka kapı bırakabiliyordu. Eklenti klasörünü silmek bunların hiçbirini ortadan kaldırmaz; bu yüzden üretici olay öncesi temiz bir yedekten geri yüklemeyi öneriyor.

    Hangi yedeği seçmeliyim?

    Olay tarihinden önceki en yakın ve açılabildiği doğrulanmış yedeği seçin: Bricksforge için 7 Ekim, Rank Math PRO için 15 Ekim akşamı, UpdraftCentral için 17 Ekim öncesi. Sitenin ne zaman ele geçirildiğinden emin değilseniz bir adım daha eski bir kopyayı tercih edin.

    Yedekten dönünce açık yeniden ortaya çıkar mı?

    Evet, olaydan önceki kopyada açığı olan eski eklenti sürümü de vardır. Geri yüklemeden sonra siteyi trafiğe açmadan önce ilgili eklentiyi güvenli sürüme yükseltin ve parolaları değiştirin; aksi hâlde site kısa sürede yeniden ele geçirilebilir.