--- title: "Saldırganlar UpdraftCentral anahtarlarını kötüye kullanarak WordPress sitelerine arka kapı yerleştirdi" url: "https://teknotayf.com/haber/saldirganlar-updraftcentral-anahtarlarini-kotuye-kullanarak-wordpress-sitelerine-arka-kapi-yerlestirdi" markdown_url: "https://teknotayf.com/haber/saldirganlar-updraftcentral-anahtarlarini-kotuye-kullanarak-wordpress-sitelerine-arka-kapi-yerlestirdi.md" site: "teknotayf.com" language: "tr" published: "2026-10-21 12:01:12" updated: "2026-10-24 01:25:25" category: "Siber Güvenlik" tags: ["Siber Güvenlik","Veri İhlali","WordPress Güvenliği","Arka Kapı Saldırısı","UpdraftCentral"] source: "The Hacker News" --- # Saldırganlar UpdraftCentral anahtarlarını kötüye kullanarak WordPress sitelerine arka kapı yerleştirdi > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/saldirganlar-updraftcentral-anahtarlarini-kotuye-kullanarak-wordpress-sitelerine-arka-kapi-yerlestirdi > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** TeamUpdraft’ın sitesine 17-18 Ekim’de yapılan izinsiz erişim sonrası UpdraftCentral, UpdraftVault ve UpdraftClone bağlantı anahtarları ele geçirildi. Ele geçirilen anahtarlarla 18-19 Ekim’de WordPress sitelerine arka kapı eklentileri yükleyen bir kampanya tespit edildi. TeamUpdraft güvenlik güncellemesi yayınlayıp bağlantıları kesti, Patchstack ve Nethemba saldırı yöntemini açıkladı. - **Yayın tarihi:** 2026-10-21 12:01 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Siber Güvenlik, Veri İhlali, WordPress Güvenliği, Arka Kapı Saldırısı, UpdraftCentral - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/10/attackers-abuse-updraftcentral-keys-to.html) ![Saldırganlar UpdraftCentral anahtarlarını kötüye kullanarak WordPress sitelerine arka kapı yerleştirdi](https://teknotayf.com/assets/uploads/2026/10/b40b6a1c37b520cf2563edb80842860d.jpg) Bilinmeyen tehdit aktörleri **TeamUpdraft** sitesine sızdı ve UpdraftCentral, UpdraftVault ile UpdraftClone için müşterilerin bağlantı anahtarlarına yetkisiz erişim sağladı; bu anahtarları WordPress sitelerine arka kapı yerleştirmek için kullandı. TeamUpdraft, dört milyondan fazla aktif kurulumu bulunan popüler WordPress yedekleme eklentisi UpdraftPlus’ın geliştiricisi. Şirket ayrıca birden fazla siteyi uzaktan yönetmek için kullanılan UpdraftCentral uzaktan yönetim hizmetini de sunuyor. UpdraftCentral’ın istemci bileşeni her UpdraftPlus kopyası içinde gönderiliyor. “17-18 Ekim hafta sonu teamupdraft.com sitesine yetkisiz erişim tespit ettik” açıklamasını TeamUpdraft yaptı. “Ekip hemen müdahale etti ve gece boyunca çalışarak olayı kontrol altına aldı – erişim yolunu kapattık, her hesabı oturumdan çıkardık ve etkilenmiş olabilecek anahtar ve kimlik bilgilerini değiştirdik.” Olayın sonucunda tehdit aktörlerinin aşağıdaki bilgileri içeren müşteri veritabanına eriştiğine inanılıyor – Adlar, e-posta adresleri, fatura adresleri ve sipariş geçmişi Hesap parolaları, yalnızca karmalanmış (karıştırılmış) biçimde saklanıyor ve düz metin olarak asla saklanmıyor İki faktörlü kimlik doğrulama (2FA) ayarları UpdraftCentral, UpdraftVault ve UpdraftClone için bağlantı anahtarları TeamUpdraft, veritabanında finansal bilginin bulunmadığını, bunların Stripe ve PayPal tarafından işlendiğini söyledi. UpdraftPlus eklentisinin, kendi barındırılan UpdraftCentral sürümlerinin ve yedeklerin müşterilerin kendi uzak depolama alanlarına gönderilmesinin etkilenmediğini de vurguladı. “Bununla birlikte, siteniz UpdraftCentral üzerinden erişildiyse, önlem olarak uzak depolamanızı yeniden yetkilendirmenizi ve depolama erişim anahtarlarınızı değiştirmenizi öneririz” dedi. Ek olarak TeamUpdraft, temel sorunu gidermek için bir düzeltme yayınladığını, her teamupdraft.com hesabını oturumdan çıkardığını ve sitede giriş güvenliğini sıfırladığını, 18 Ekim 2026 tarihinde 22.00 BST’den önce yapılmış her UpdraftCentral bağlantısını otomatik olarak kesmek için UpdraftPlus 1.26.13 (ücretsiz) ve 2.26.13 (Premium) sürümlerini yayınladığını bildirdi; böylece eski anahtarlar çalışmaz hale geldi. Geliştirici tarafından alınan diğer adımlar aşağıda listeleniyor – Her siteyi UpdraftVault’tan ayırdı ve yeni kimlik bilgileri verdi Her UpdraftClone istemci anahtarını değiştirdi Ödeme sağlayıcıları ve diğer bağlı hizmetlerle anahtarlarını döndürdü Ek izleme uyguladı Olayı Birleşik Krallık Bilgi Komiserliği Ofisi’ne (ICO) ve diğer ilgili makamlara bildirdi teamupdraft.com hesabı bulunan kullanıcıların parolalarını derhal değiştirmeleri (aynı parolayı başka yerde kullandıysa orada da), 2FA ayarlarını sıfırlamaları ve TeamUpdraft adına geldiğini iddia eden beklenmedik e-postalara karşı dikkatli olmaları öneriliyor. TeamUpdraft ayrıca bağlantı anahtarlarının bağlı sitelere komut gönderebildiği için UpdraftCentral’ın bulut müşterilerinin mümkün olan en kısa sürede aşağıdaki adımları izlemesini öneriyor – UpdraftCentral üzerinden değil, sitenin kendi WordPress panosuna giriş yapın. UpdraftPlus’ı 1.26.12 (ücretsiz) veya 2.26.12 (Premium) veya daha yeni sürüme güncelleyin. UpdraftCentral’dan ayırın: Ayarlar > UpdraftPlus > Gelişmiş Araçlar > UpdraftCentral’a gidin ve bağlantı anahtarını silin. Kullanıcılar’a gidin ve tanımadığınız yönetici hesapları olup olmadığını kontrol edin. Kaldırın. Eklentiler’e gidin, görebiliyorsanız Kullanım Zorunlu sekmesini de dahil edin ve tanımadığınız bir şey olup olmadığını kontrol edin. Kaldırın. Sitedeki tüm yönetici hesaplarının parolalarını değiştirin. Şüpheli bir şey bulursanız, 17 Ekim’den önce alınmış bir yedekten siteyi geri yüklemeyi düşünün. Sitenin UpdraftCentral’a yeniden bağlayın. UpdraftVault kullanıcılarının yedekleme hizmetine sitelerini yeniden bağlamaları isteniyor ve UpdraftClone kullanıcılarının istemci anahtarı oluşturmuş olması halinde yeni anahtarları My Account > UpdraftClone > UpdraftClone Key Management adresinden kopyalayıp müşterileriyle paylaşmaları gerekiyor. Gelişme, WordPress güvenlik şirketi Patchstack’in geçerli UpdraftCentral panel anahtarlarına sahip bir saldırganın bağlı WordPress sitelerine arka kapı eklentileri yüklemek için komutlar gönderdiğini gözlemlemesiyle geldi. Kampanyanın **18-19 Ekim 2026** tarihlerinde 18 saatlik bir pencerede sürekli olarak yürütüldüğü belirtiliyor. “Saldırgan, site köküne olağan POST isteklerini dinleyen eklentinin uzak yordam çağrı kanalı üzerinden imzalı bir plugin.upload_plugin komutu gönderiyor. WordPress, sağlanan eklentiyi standart yükleyicisi aracılığıyla yükleyip etkinleştiriyor” dedi Patchstack güvenlik araştırmacısı Dave Jong. Saldırıyı doğada ilk tespit eden Slovakya merkezli penetrasyon test şirketi Nethemba, kötü amaçlı eklentiyi her site isteğine bağlanan ve URL’de “?_9f5696=” parametresinin bulunup bulunmadığını kontrol edip 32 karakterlik bir jetonla karşılaştıran bir arka kapı olarak tanımladı. Eşleşen bir jeton tespit edilirse “data-ops43” kullanıcısını “Site Tools” görüntü adıyla oluşturuyor, ona Editör rolü atıyor ve hesaba “manage_options” ve “install_plugins” izinleri veriyor; bu da operatörün keyfi PHP eklentileri yüklemesine ve site ayarlarını açmasına olanak tanıyor. “Kaydı etkinleştirmek ve varsayılan rolü yönetici olarak ayarlamak, saldırganın tam bir yönetici oluşturması için yeterli” dedi Nethemba. “Standart bir WordPress sitesinde Editör’ün ayrıca unfiltered_html yetkisi de vardır, böylece hesap her yöneticinin tarayıcısında çalışan JavaScript’i gönderilere yerleştirebilir.” “Arka kapının ikinci bir katmanı da var. Oluşturduğu hesap, bilinen bir parolayla, eklenti kaldırıldıktan sonra bile WordPress’te kalıyor ve iki faktörlü kimlik doğrulama o hesap için etkinleştirilmedikçe saldırgan normal giriş formu üzerinden oturum açabiliyor.” Eklentinin erken bir sürümü, etkilenen sitelerin 500 hata kodu ile başarısız olmasına neden olan bir kod hatasından muzdaripti; Nethemba, tehdit aktörünün bozuk arka kapıyı “plugin.delete_plugin” komutunu göndererek sildiğini ve ardından tam bir yönetici hesabı oluşturan veya mevcut bir yönetici olarak giriş yapan çalışan bir sürüm yüklediğini söyledi. WordPress site sahiplerinin aşağıdaki uzlaşma göstergelerini kontrol etmeleri öneriliyor – Eklenti adları: Site Health Cache veya Site Health 364F, Asset Forge 2, Content Helper, Wp Forge, Query Shelf, Style Bridge 8F5, Media Kit 183, Query Shelf, Post Dock 776, Nav Hub, Speed Desk, Speed Kit 300, Link Latch, Script Shelf veya Feed Case Hesap adları: system_team850, web.tech988, cmseditor170, cms.tech644 veya web_mgr684, e-posta @example.com ve System Team, Web Tech, System Staff, System Ops veya Cms Tech gibi bir görüntü adı IP adresleri: 43.250.53.42 ve 2a09:bac5:4e21:2e3c::49b:9 Toplamda Patchstack, her örneğin “Small maintenance toolkit: keeps option storage tidy.” satırını taşıyan 99 farklı arka kapı eklenti adı gözlemlediğini söyledi. Olayın kendi analizini yayınlayan Wordfence, bir WordPress sitesinin aşağıdaki kriterler sağlanırsa etkilenmiş olabileceğini söyledi – Site, etkilenen UpdraftCentral bağlantı anahtarı mevcutken UpdraftPlus Free veya UpdraftPlus Premium’un kurulu ve aktif olması. Site, olay sırasında veya olay sırasında TeamUpdraft’ın bulut barındırılan UpdraftCentral hizmeti için aktif bir bağlantı anahtarına sahip. “Bu, beş ay içinde bu kanaldaki ikinci olay” diye uyardı Patchstack. “Haziran 2026’da satıcı, saldırganın hiç anahtar olmadan UpdraftCentral komutlarını sahtelemesine izin veren eski imzalanmamış mesaj formatı olan CVE-2026-1079 5’i (CVSS 8.1) düzeltti. Bu, 1.26.5 ve 2.26.5’te düzeltildi, ancak istismar girişimleri devam ediyor, bu nedenle bu sürümlerin altındaki siteler her iki sorundan da aynı anda etkileniyor.” Gelişme, Rank Math PRO WordPress eklentisinin web sitesinin bir yazılım tedarik zinciri saldırısına uğramasından günler sonra geldi; 15 Ekim saat 20.02 UTC ile 16 Ekim saat 07.12 UTC arasında 3.0.123 sürümünü indiren kullanıcılar gizli arka kapılar yerleştiren tehlikeye atılmış sürümler aldı. Olay **CVE-2026-111862** tanımlayıcısı (CVSS puanı: 9.8) ile ilişkilendirildi. Sorun Rank Math PRO 3.0.124 sürümünde düzeltildi. “Kötü amaçlı yazılım kalıcı erişim sağlayabilir, rank1cdn[.]com ile iletişim kurabilir, sayfa ziyaretlerinde gizli arka kapıları yeniden oluşturabilir ve web sunucusuna erişilebilen WordPress kimlik bilgileri, veritabanı kimlik bilgileri, API anahtarları ve diğer gizli bilgileri açığa çıkarabilir” dedi Wordefence. Bulgular, PHP’nin iki kritik güvenlik açığını (CVE-2026-109618 ve CVE-2026-109619, CVSS puanları: 9.2) düzeltmek için bir güvenlik sürümü yayınlamayı planladığını söyleyen PHP’den gelen bir danışmayla da aynı zamana denk geldi; açıkların bilgileri planlanan ifşadan önce sızdı. Açıklara PHP2Shell kod adı verildi. watchTowr CEO’su Benjamin Harris’e göre güvenlik açıkları PHP 5, 6, 7 ve 8 sürümlerini etkiliyor ve başlangıçta 22 Ekim’de ET saatiyle 11.00’de yayınlanması planlanıyordu. “PHP her yerdedir. Sessizce WordPress, Drupal, Joomla ve Magento sitelerini, paylaşımlı barındırma platformlarını, kontrol panellerini ve hatta PHP üzerinde çalıştığını ilan etmeyen bir sürü yazılımı destekler” dedi Huntress. “Kritik bir hata tek bir uygulama yerine PHP’nin kendisinde ortaya çıktığında, savunmasız PHP sürümlerini tespit etmek için bakmanız gereken yerlerin sayısı çok hızlı bir şekilde çok büyük hale gelir.” ## Güncelleme PHP Foundation, yetkisiz saldırganların kod çalıştırmasına veya hassas işlem belleğini açığa çıkarmasına olanak tanıyan iki açık için yamalar yayınladı. Aynı anda TeamUpdraft, “PHP Foundation’ı etkileyen devam eden sorun” ışığında “destek formunu geçici olarak çevrimdışı aldığını” söyledi. Müşterilerin destek forumları üzerinden destekle iletişime geçmeleri öneriliyor. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/saldirganlar-updraftcentral-anahtarlarini-kotuye-kullanarak-wordpress-sitelerine-arka-kapi-yerlestirdi Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.