Swati Khandelwal 19 Oct 2026 Web Security / Vulnerability
Rank Math, 16 Ekim’de yayımlanan güvenlik duyurusunda, 15 Ekim saat 20.02 UTC ile 16 Ekim saat 07.12 UTC arasında rankmath.com’dan indirilen ya da güncelleme olarak teslim edilen Rank Math SEO eklentisinin ücretli sürümü Rank Math PRO kopyalarının kötü amaçlı yazılım içerdiğini açıkladı.
Bu kopyalardan birini yükleyip etkinleştiren her site tehlikeye girmiş kabul edilmeli; kötü amaçlı yazılım siteyi ziyaret eden herkesin tetiklemesiyle gizli arka kapısını yeniden oluşturabiliyor.
Rank Math etkilenen dosyaları kaldırdı ve temiz sürüm 3.0.124’ü yayımladı. Wordfence’in 17 Ekim’deki uyarısına göre bu sürümü yüklemek eklentiyi değiştiriyor ancak kötü amaçlı yazılımın sunucunun başka yerlerine yerleştirmiş olabileceği dosya, yönetici hesabı ya da planlanmış görevleri kaldırmıyor.
Kimler Etkilendi
Sürüm numarası bir kopyanın etkilenip etkilenmediğini göstermiyor. Rank Math’ın güncelleme kayıtlarında 3.0.123 sürümü 7 Ekim’e tarihleniyor; bu, sorunun başladığı pencerenin açılmasından bir haftadan fazla önce. Duyuru olayı, söz konusu pencere içinde indirilen ya da güncelleme yoluyla yüklenen kopyalarla sınırlıyor.
15 Ekim saat 20.02 UTC’den önce elde edilmiş bir 3.0.123 kopyası bu pencerenin dışındadır.
Duyuru siteleri üç duruma ayırıyor:
Pencere içinde 3.0.123’ü yükleyip etkinleştirdiniz: Site tehlikeye girmiş kabul edilmeli, 3.0.124’e güncellenmiş olsa bile aşağıdaki kurtarma adımları uygulanmalı.
Yüklediniz ama hiç etkinleştirmediniz: Eklenti dosyalarını silin, Rank Math hesabınızdan 3.0.124’ü kurun ve güvenlik taraması yapın.
İndirdiniz ama yüklemediniz ya da etkinleştirmediniz: Bu olay tek başına sitenin tehlikeye girdiğini göstermez.
Rank Math bazı kullanıcılara e-posta ile bilgi verdi ve dosyaların yüklenip etkinleştirilip edilmediğinden emin olmayanların destek ekibiyle iletişime geçmesini istedi.
Duyuru yalnızca rankmath.com’dan indirilen ve güncellenen PRO eklentisi için geçerli. WordPress.org’da 4 milyondan fazla aktif kurulumu bulunan ve son güncellemesi 6 Ekim olan ücretsiz Rank Math SEO eklentisi duyuruda anılmıyor.
Kötü Amaçlı Yazılım Ne Yapıyor
Kötü amaçlı yazılım hakkında bilinenler Rank Math’ın duyurusundan geliyor. Ne Rank Math ne de Wordfence’in uyarısı kod analizi içeriyor ve her ikisi de saldırının arkasındaki kişi ya da grubu adlandırmıyor.
Arka kapıyı yeniden oluşturan şeyi durdurmadan şüpheli dosyaları silmek sorunu çözmeyebilir; bu nedenle temizlik sırası önemli. Saldırgan başka eklentilerin klasörlerine, tema klasörlerine ve must-use eklentiler dizinine PHP arka kapı dosyaları bırakmış, yönetici hesapları oluşturmuş, sahte bir WordPress çekirdek dosyası eklemiş, .htaccess’i .cache dosyalarının PHP olarak çalışacak şekilde değiştirmiş ve planlanmış görevler ile SSH anahtarları eklemiş olabilir.
Siteye erişebilecek her parola, veritabanı kimliği, API anahtarı ya da diğer gizli bilgi ifşa olmuş olabilir ve sahiplerinin ifşa olduğu varsayılmalı.
Wordfence olaya CVE-2026-111862 kimliğini verdi ve 10 üzerinden 9.8 puanla derecelendirdi; araştırmacı bilinmiyor olarak listeleniyor.
Patchstack olayı arka kapı olarak sınıflandırıyor ve saldırı Rank Math’ın kendi sistemlerine yönelik olduğu için “hafifletme için kural mümkün değil” diyor.
Nasıl Kurtarılır
Rank Math’ın tercih ettiği kurtarma yöntemi geri yüklemedir. 15 Ekim saat 20.02 UTC’den önce alınmış site ve veritabanı yedeği varsa, geri yükleyin, güvenlik taraması yapın, her parola ve kimliği değiştirin ve ancak sonra Rank Math hesabınızdan 3.0.124’ü kurun.
Temiz bir yedek yoksa manuel temizlik sabit bir sıra ile yapılır ve üç işlem her şeyden önce gelir:
Barındırma dosya yöneticisi ya da FTP ile tüm rank-math-pro eklenti klasörünü silin. Duyuruda “Eklentiyi devre dışı bırakmak yeterli değildir” deniyor.
wp_options tablosunda option_name’i _uf6qdn2hmm, t8krdk990phb ya da _np5pvf754c olan tüm girdileri silin.
Barındırma sağlayıcısı ya da güvenlik duvarı izin veriyorsa rank1cdn[.]com’a giden dış bağlantıları engelleyin.
Yalnızca bundan sonra diğer değişikliklerin araması başlar:
Dosyalar: wp-content/mu-plugins/ içindeki PHP dosyaları, diğer eklentilerin klasörleri, varsayılan olmayan temaların inc/, includes/ ve lib/ klasörleri, Rank Math’ın kendi includes/ klasörü ve uploads/.
Kod: base64_decode kullanan, XOR döngüleri içeren, anahtarı xmmqhn olan, proc_open kullanan ya da PHP-FPM soket kodu içeren PHP.
Hesaplar: Kullanıcı adı wpsupport_ ile başlayan yönetici kullanıcıları ya da e-posta adresi @wp-mail[.]net ile biten hesaplar.
Sunucu: .cache dosyalarının PHP olarak çalışmasına izin veren .htaccess kuralları, PHP kodu içeren .cache dosyaları, web sunucusu kullanıcısının crontab’ında #ms6v46 etiketli girdiler, WordPress planlanmış olayları, SSH authorized_keys dosyaları, diğer kullanıcıların crontab’ları, çalışan işlemler ve web sunucusunun yazabileceği her yer.
Wordfence bir uyarı ekliyor: “Bunların bulunmaması tek başına bir web sitesinin temiz olduğunu kanıtlamaz.”
Kimlikler her durumda değiştirilmeli, yedekten geri yükleme sonrası bile. Liste WordPress parolalarını, wp-config.php içindeki veritabanı kullanıcı adı ve parolasını, aynı dosyadaki güvenlik anahtarları ve tuzlarını, ödeme geçidi, SMTP ve diğer API anahtarlarını, barındırma kontrol paneli, FTP, SFTP ve SSH erişimini, ortam değişkenlerinde tutulan gizli bilgileri ve yöneticiler için iki faktörlü kimlik doğrulamayı kapsıyor.
Temizlik, güvenlik taraması, WordPress çekirdeği için wp core verify-checksums ve tüm eklentiler için wp plugin verify-checksums --all ile biter; premium eklentiler için checksum bulunmayabileceği uyarısı yapılıyor.
WordPress.org bu eklenti için yayınlamıyor. Hacker News 19 Ekim’de plugin-checksums hizmetini kontrol ettiğinde PRO eklentisi için iki adıyla da dosya bulunmadı; hizmet ücretsiz eklenti için yayın yapıyor. Yedek bildirim resmi kaynaktan temiz bir kopya sağlıyor.
Temiz 3.0.124 en son gelir, rankmath.com’a doğrudan giriş yaparak indirilir. Bazı müşteriler giriş yapamayabilir ve hesap parolasını sıfırlaması gerekebilir; duyuru nedenini söylemiyor ve Rank Math asla giriş ya da indirme bağlantılarını e-posta ile göndermiyor.
Rank Math’ın Söylemediği
İsveçli barındırma grubu group.one’a bağlı Rank Math, kötü amaçlı dosyaların indirme ve güncelleme sistemine nasıl girdiğini, kaç müşterinin bir kopya aldığını, otomatik güncellemelerin bunları ulaştırıp ulaştırmadığını ya da temiz ve kirli paketlerin hash’lerini açıklamadı. Gelecekle ilgili tek açıklaması ekibin benzer olay riskini azaltmak için adımlar attığı yönünde.
Kayıtlar, sahiplerinin engellemesi istenen alan rank1cdn[.]com’un 14 Ekim saat 19.31 UTC’de kaydedildiğini gösteriyor; bu tarih pencerenin açılmasından yaklaşık bir gün önce.
Bu Yılki Desen
Bu yıl premium bir WordPress eklentisinin satıcı tarafından yürütülen güncelleme kanalı aracılığıyla tehlikeye atılmış derlemeler sunulmasının en az üçüncü örneği. Nisanda Nextend’in güncelleme sistemi yaklaşık altı saat boyunca arka kapılı Smart Slider 3 Pro sundu.
Haziranda ShapedPlugin’ın Pro eklentilerinin güncelleme kanalında arka kapılandığı tespit edildi ve temiz gönderilmiş bir paket daha sonra “aynı sürüm numarası altında” oynanarak değiştirildi; Rank Math müşterilerinin şimdi karşı karşıya olduğu tuzak bu.
Saldırganlar haziranda Awesome Motive’in CDN’sinden servis edilen komut dosyalarını da değiştirdi ve ağustosta BdThemes’in API beslemesini zehirledi. Yayımlanan hiçbir şey bu olaylardaki saldırganları bu olayla ilişkilendirmiyor.
