Rank Math PRO 11 Saat Boyunca Zararlı Yazılım Dağıttı

Ücretli WordPress SEO eklentisi Rank Math PRO'nun 15 Ekim 20:02 UTC ile 16 Ekim 07:12 UTC arasında rankmath.com üzerinden indirilen veya güncelleme olarak dağıtılan kopyaları zararlı yazılım içerdi. Rank Math, 16 Ekim'de yayımladığı güvenlik bildiriminde bu kopyalardan birini kurup etkinleştiren her sitenin ele geçirilmiş kabul edilmesi gerektiğini açıkladı. Şirket etkilenen dosyaları kaldırmış ve temiz sürüm 3.0.124'ü yayımlamış olsa da, bu sürümü yüklemek eklentiyi değiştiriyor ancak sunucunun başka yerlerine yerleştirilmiş olabilecek dosyaları, yönetici hesaplarını veya zamanlanmış görevleri temizlemiyor. Wordfence, 17 Ekim tarihli danışma yazısında bu uyarıyı yineledi ve zararlı yazılımın siteye her ziyaretçi geldiğinde gizli arka kapıyı yeniden oluşturabildiğini bildirdi.

Kimler Etkilendi ve Sürüm Numarası Neden Yanıltıyor​

Sürüm numarası tek başına bir kopyanın etkilenip etkilenmediğini göstermiyor. Rank Math'in değişiklik günlüğü 3.0.123 sürümünü 7 Ekim tarihli olarak listeliyor; bu tarih, zararlı yazılımın dağıtıldığı pencerenin açılmasından bir haftadan fazla önceye denk geliyor. Bildirim, olayı yalnızca bu pencere içinde indirilen veya güncelleme yoluyla kurulan kopyalarla sınırlıyor. Buna göre 15 Ekim 20:02 UTC'den önce edinilen bir 3.0.123 kopyası bu kapsamın dışında kalıyor.
Bildirim siteleri üç duruma ayırıyor. Pencere içinde 3.0.123'ü kurup etkinleştirenler: Site, daha sonra 3.0.124'e güncellenmiş olsa bile ele geçirilmiş kabul edilmeli ve kurtarma adımları izlenmeli. Eklentiyi kurup hiç etkinleştirmeyenler: Eklenti dosyaları silinmeli, Rank Math hesabından 3.0.124 kurulmalı ve güvenlik taraması yapılmalı. Eklentiyi indirip hiç kurmayan veya etkinleştirmeyenler: Yalnızca bu olay nedeniyle sitenin ele geçirildiğine dair bir gösterge bulunmuyor.
Rank Math bazı kullanıcılara e-posta gönderdi ve dosyaların kurulup etkinleştirilmediğinden emin olamayanların destek ekibiyle iletişime geçmesini istedi. Bildirim yalnızca rankmath.com üzerinden indirilip güncellenen PRO eklentisi için geçerli. WordPress.org üzerinden dağıtılan ve 4 milyondan fazla aktif kurulumu bulunan, son güncellemesi 6 Ekim olan ücretsiz Rank Math SEO eklentisi bildirimde anılmıyor.

Zararlı Yazılım Ne Yapıyor ve Kalıcılığı Nasıl Sağlıyor​

Zararlı yazılım hakkında bilinenler Rank Math'in bildirimine dayanıyor. Ne bu bildirim ne de Wordfence danışma yazısı kod analizini içeriyor ve hiçbiri saldırının arkasında kimin olduğunu açıklamıyor. Bu nedenle temizlikte sıralama kritik önem taşıyor; arka kapıyı yeniden oluşturan mekanizma durdurulmadan şüpheli dosyaları silmek sorunu çözmeyebilir.
Bildirime göre saldırgan, başka eklentilerin klasörlerine, tema klasörlerine ve must-use eklentiler dizinine PHP arka kapı dosyaları bırakmış, yönetici hesapları oluşturmuş, sahte bir WordPress çekirdek dosyası eklemiş, .htaccess dosyasını .cache dosyalarının PHP olarak çalıştırılacak şekilde değiştirmiş ve zamanlanmış görevler ile SSH anahtarları eklemiş olabilir. Sitenin erişebildiği her parola, veritabanı kimlik bilgisi, API anahtarı veya diğer gizli verinin ifşa olmuş olabileceği ve ifşa olmuş gibi işlem yapılması gerektiği vurgulanıyor.
Wordfence olaya CVE-2026-111862 numarasını verdi ve ciddiyetini 10 üzerinden 9,8 olarak derecelendirdi; araştırmacı bilinmiyor olarak listelendi. Patchstack olayı arka kapı olarak sınıflandırıyor ve saldırı Rank Math'in kendi sistemlerine yönelik olduğu için "etkiyi azaltmak için bir kural oluşturmanın mümkün olmadığını" belirtiyor.

Kurtarma İçin İzlenmesi Gereken Sıralı Adımlar​

Rank Math'in öncelikli kurtarma önerisi geri yükleme. 15 Ekim 20:02 UTC öncesine ait site ve veritabanı yedeği bulunanların yedeği geri yüklemesi, güvenlik taraması yapması, tüm parola ve kimlik bilgilerini değiştirmesi ve ancak bundan sonra Rank Math hesabından 3.0.124'ü kurması isteniyor.
Temiz yedeği bulunmayanlar için manuel temizlik sabit bir sırayla ilerliyor ve başka hiçbir şeye dokunulmadan önce üç işlem yapılması gerekiyor:

• Barındırma dosya yöneticisi veya FTP kullanılarak rank-math-pro eklenti klasörünün tamamını silmek. Bildirimde "Yalnızca eklentiyi devre dışı bırakmak yeterli değildir" ifadesi yer alıyor.
• wp_options tablosunda option_name değeri _uf6qdn2hmm, t8krdk990phb veya _np5pvf754c olan tüm kayıtları silmek.
• Barındırma sağlayıcısı veya güvenlik duvarı izin veriyorsa rank1cdn[.]com adresine giden bağlantıları engellemek.

\nAncak bu adımlardan sonra diğer değişikliklerin aranmasına geçiliyor. Aranacak yerler şöyle sıralanıyor:

• Dosyalar: wp-content/mu-plugins/ içindeki, diğer eklentilerin klasörlerindeki, varsayılan olmayan temaların inc/, includes/ ve lib/ klasörlerindeki, Rank Math'in kendi includes/ klasöründeki ve uploads/ içindeki PHP dosyaları.
• Kod: base64_decode ile XOR döngüleri, xmmqhn anahtarı, proc_open veya PHP-FPM soket kodu içeren PHP kodları.
• Dosya: WordPress çekirdek dosyası olmayan wp-includes/class-wp-cache-util.php.
• Hesaplar: wpsupport_ ile başlayan yönetici kullanıcı adları veya @wp-mail[.]net ile biten e-posta adreslerine sahip hesaplar.
• Sunucu: .cache dosyalarının PHP olarak çalışmasına izin veren .htaccess kuralları, PHP kodu içeren .cache dosyaları, web sunucusu kullanıcısının crontab'ında #ms6v46 etiketli girdiler, WordPress zamanlanmış olayları, SSH authorized_keys dosyaları, diğer kullanıcıların crontab'ları, çalışan işlemler ve web sunucusunun yazabildiği site dışındaki her konum.

\nWordfence, bu izlerin bulunmamasının tek başına sitenin temiz olduğunu kanıtlamadığı uyarısını ekliyor. Kimlik bilgileri her durumda, yedekten geri yükleme sonrasında bile değiştirilmeli. Liste WordPress parolalarını, wp-config.php içindeki veritabanı kullanıcı adı ve parolasını, aynı dosyadaki güvenlik anahtarları ve tuzları, ödeme geçidi, SMTP ve diğer API anahtarlarını, barındırma kontrol paneli, FTP, SFTP ve SSH erişimlerini, ortam değişkenlerinde tutulan gizli verileri ve yöneticiler için iki faktörlü kimlik doğrulamayı kapsıyor.
Temizlik, güvenlik taraması, WordPress çekirdeği için wp core verify-checksums ve eklentiler için wp plugin verify-checksums --all komutlarıyla sona eriyor; ancak premium eklentiler için sağlama toplamlarının bulunmayabileceği uyarısı yapılıyor. WordPress.org bu eklenti için sağlama toplamı yayımlamıyor. The Hacker News, 19 Ekim'de plugin-checksums hizmetini kontrol ettiğinde PRO eklentisi için her iki adı altında da dosya bulamazken, ücretsiz eklenti için sağlama toplamının yayımlandığını gördü.
Temiz 3.0.124 en son adımda, doğrudan rankmath.com adresine giriş yapılarak indiriliyor. Bildirimde bazı müşterilerin giriş yapamayabileceği ve hesap parolalarını sıfırlamaları gerekebileceği belirtiliyor ancak nedenine değinilmiyor. Rank Math'in e-posta ile asla giriş veya indirme bağlantısı göndermeyeceği de vurgulanıyor.

Rank Math'in Açıklamadıkları ve Alan Adı Detayı​

İsveçli barındırma grubu group.one'ın parçası olan Rank Math, zararlı dosyaların indirme ve güncelleme sistemine nasıl girdiği, kaç müşterinin bu dosyalardan birini aldığı, otomatik güncellemelerin bunları dağıtıp dağıtmadığı veya temiz ve virüslü paketlerin hash değerlerinin ne olduğu konusunda açıklama yapmadı. Geleceğe ilişkin tek açıklaması, ekibin benzer olayların riskini azaltmak için adımlar attığı yönünde.
Kayıt kayıtları, Rank Math'in engellenmesini istediği alan adı olan rank1cdn[.]com'un 14 Ekim 19:31 UTC'de, pencere açılmadan yaklaşık bir gün önce tescil edildiğini gösteriyor.

Bu Yıl Üçüncü Tedarik Zinciri Vakası​

Bu olay, bu yıl içinde premium bir WordPress eklentisinin satıcı tarafından işletilen güncelleme kanalının arka kapılı sürümler dağıtmasının en az üçüncü örneği oldu. Nisan ayında Nextend'in güncelleme sistemi yaklaşık altı saat boyunca arka kapılı Smart Slider 3 Pro sundu. Haziran ayında ShapedPlugin'in Pro eklentilerinin güncelleme kanalında arka kapıya sahip olduğu tespit edildi ve temiz olarak gönderilmiş bir paketin daha sonra "aynı sürüm numarası altında tahrif edildiği" belirlendi; bu, Rank Math müşterilerinin şu anda karşı karşıya olduğu tuzakla aynı.
Haziran ayında saldırganlar Awesome Motive'in CDN'inden sunulan betikleri de değiştirdi ve Ağustos ayında BdThemes'in API akışını zehirledi. Yayımlanan hiçbir bilgi, bu olayların arkasındaki saldırganlar ile bu olay arasında bağlantı kurmuyor.

Sıkça Sorulan Sorular​

Rank Math PRO'daki zararlı yazılım hangi zaman aralığında dağıtıldı?​

Rank Math'in 16 Ekim'deki güvenlik bildirimine göre zararlı yazılım içeren kopyalar 15 Ekim 20:02 UTC ile 16 Ekim 07:12 UTC arasında rankmath.com'dan indirilen veya güncelleme olarak dağıtılan kopyalardı; bu 11 saatlik pencere dışında edinilen kopyalar bildirim kapsamına girmiyor.

3.0.123 sürüm numarası etkilenen kopyayı gösterir mi?​

Hayır. Değişiklik günlüğü 3.0.123'ü 7 Ekim tarihli gösteriyor ve bildirim sürüm numarasının etkilenme durumunu göstermediğini belirtiyor. Yalnızca pencere içinde indirilip kurulan 3.0.123 kopyaları etkilenmiş sayılıyor; pencereden önce alınan aynı sürüm kapsam dışında.

Zararlı yazılım siteye bulaştıktan sonra ne yapıyor?​

Rank Math'in bildirimine göre zararlı yazılım gizli bir arka kapı oluşturuyor ve siteye her ziyaret geldiğinde bu arka kapıyı yeniden oluşturabiliyor. Ayrıca diğer eklenti ve tema klasörlerine PHP dosyaları bırakabiliyor, sahte çekirdek dosyası ekleyebiliyor, .htaccess'i değiştirebiliyor, yönetici hesapları oluşturabiliyor ve zamanlanmış görevler ile SSH anahtarları ekleyebiliyor.

Temiz sürüm 3.0.124'ü yüklemek siteyi tek başına temizler mi?​

Hayır. Rank Math temiz sürümü yayımladı ancak Wordfence'e göre 3.0.124'ü yüklemek yalnızca eklentiyi değiştiriyor; zararlı yazılımın sunucunun başka yerlerine yerleştirmiş olabileceği dosyaları, hesapları veya görevleri kaldırmıyor. Bu nedenle geri yükleme veya sıralı manuel temizlik ve tüm kimlik bilgilerini değiştirme gerekiyor.

Bu olay bu yılki diğer WordPress tedarik zinciri saldırılarıyla bağlantılı mı?​

Kaynak içerikte yayımlanan hiçbir bilgi bu olay ile Nisan ayındaki Smart Slider 3 Pro, Haziran ayındaki ShapedPlugin ve Awesome Motive CDN ile Ağustos ayındaki BdThemes API olayları arasında bağlantı kurmuyor; olay bu yıl satıcı güncelleme kanalı üzerinden yaşanan en az üçüncü vaka olarak niteleniyor.