UpdraftCentral Anahtarları Ele Geçirildi, WordPress Sitelere Arka Kapı Yerleştirildi

WordPress yedekleme eklentisi UpdraftPlus'ın geliştiricisi TeamUpdraft, 17-18 Ekim hafta sonunda kendi web sitesi olan teamupdraft.com'a yetkisiz erişim gerçekleştirildiğini açıkladı. Saldırganlar, ihlal sırasında müşteri veritabanına ulaşarak UpdraftCentral, UpdraftVault ve UpdraftClone hizmetlerine ait bağlantı anahtarlarını ele geçirdi. Bu anahtarları kullanan tehdit aktörleri, bağlı WordPress sitelerine arka kapı eklentileri kurdu.

İhlalde Hangi Veriler Ele Geçirildi?​

TeamUpdraft'ın açıklamasına göre erişilen müşteri veritabanı; isimler, e-posta ve fatura adresleri, sipariş geçmişi, yalnızca karma (hash) biçimde saklanan hesap şifreleri, iki faktörlü kimlik doğrulama (2FA) ayarları ile UpdraftCentral, UpdraftVault ve UpdraftClone bağlantı anahtarlarını içeriyordu. Şirket, veritabanında herhangi bir finansal bilgi bulunmadığını; ödeme işlemlerinin Stripe ve PayPal üzerinden yürütüldüğünü vurguladı. Dört milyonun üzerinde aktif kuruluma sahip olan UpdraftPlus eklentisinin kendisinin, kendi barındırılan UpdraftCentral sürümlerinin ve müşterilerin kendi uzak depolama alanlarına gönderilen yedeklerin bu ihlalden etkilenmediği de belirtildi.

Saldırganlar Arka Kapıyı Nasıl Kurdu?​

WordPress güvenlik şirketi Patchstack, 18-19 Ekim 2026 tarihleri arasında yaklaşık 18 saatlik bir süre boyunca kesintisiz süren bir kampanya tespit ettiğini duyurdu. Saldırganlar, ele geçirdikleri geçerli UpdraftCentral kontrol paneli anahtarlarıyla bağlı sitelere komut göndererek arka kapı eklentileri yükledi. Patchstack güvenlik araştırmacısı Dave Jong'a göre saldırgan, eklentinin uzaktan yordam çağrısı kanalı üzerinden imzalı bir plugin.upload_plugin komutu gönderiyor; WordPress da bu eklentiyi standart kurulum mekanizmasıyla kurup etkinleştiriyor.
Slovakya merkezli sızma testi şirketi Nethemba, söz konusu eklentiyi ilk kez gerçek ortamda tespit eden firma oldu. Nethemba'nın analizine göre arka kapı, siteye gelen her isteği izleyerek URL'de belirli bir parametre arayışına giriyor. Eşleşen bir token bulunduğunda "data-ops43" kullanıcı adıyla, "Site Tools" görünen adıyla yeni bir hesap oluşturuyor; bu hesaba Editör rolü atanıyor ancak manage_options ve install_plugins izinleri de veriliyor. Nethemba, standart bir WordPress sitesinde Editör rolünün unfiltered_html iznine sahip olduğunu, dolayısıyla bu hesabın her yöneticinin tarayıcısında çalışacak JavaScript kodunu sayfalara ekleyebildiğini belirtti. Arka kapının ikinci bir katmanı daha bulunuyor: Oluşturulan hesap, eklenti kaldırılsa bile WordPress'te kalmaya devam ediyor ve saldırgan bu hesapla normal giriş formundan oturum açabiliyor.
Patchstack, toplamda 99 farklı arka kapı eklenti adı gözlemlediğini açıkladı. Her örnekte "Small maintenance toolkit: keeps option storage tidy" satırının yer aldığı bildirildi. Eklentinin erken bir sürümünde kodlama hatası nedeniyle etkilenen siteler 500 hatası verdi; tehdit aktörü bu versiyonu plugin.delete_plugin komutuyla silerek çalışan yeni bir sürüm yükledi.

TeamUpdraft'ın Aldığı Önlemler​

Şirket, ihlali fark etmesinin ardından erişim yolunu kapattığını, tüm hesaplardan oturum kapattığını ve etkilenmiş olabilecek anahtar ile kimlik bilgilerini değiştirdiğini açıkladı. Ayrıca UpdraftPlus 1.26.13 (ücretsiz) ve 2.26.13 (Premium) sürümlerini yayınlayarak 18 Ekim 2026 saat 22:00 BST öncesinde kurulmuş tüm UpdraftCentral bağlantılarını otomatik olarak devre dışı bıraktı. Bunların yanı sıra UpdraftVault'a bağlı tüm sitelerin bağlantısını keserek yeni kimlik bilgileri oluşturdu, UpdraftClone istemci anahtarlarını yeniledi, ödeme sağlayıcıları ve diğer bağlı hizmetlerle kullandığı anahtarları döndürdü ve ek izleme mekanizmaları devreye aldı. Olay, İngiltere Bilgi Komisyonu Ofisi (ICO) ve ilgili diğer yetkililere de bildirildi.

Kullanıcılara Yönelik Uyarılar ve Yapılması Gerekenler​

TeamUpdraft, teamupdraft.com hesabı olan kullanıcıların parolalarını derhal değiştirmesini, aynı parolayı başka sitelerde de kullananların oralarda da güncelleme yapmasını ve 2FA ayarlarını sıfırlamasını tavsiye etti. UpdraftCentral'ın bulut müşterileri için ise şu adımlar önerildi: UpdraftCentral üzerinden değil, sitenin kendi WordPress yönetim panelinden giriş yapmak; UpdraftPlus'ı 1.26.12 (ücretsiz) veya 2.26.12 (Premium) ya da daha yeni bir sürüme güncellemek; Ayarlar menüsünden UpdraftCentral bağlantı anahtarını silmek; Kullanıcılar bölümünden tanınmayan yönetici hesaplarını kaldırmak; Eklentiler bölümünde, Must-Use sekmesi dahil, tanınmayan eklentileri temizlemek; tüm yönetici hesaplarının parolalarını değiştirmek. Şüpheli bir durumla karşılaşıldığında 17 Ekim öncesine ait bir yedekten sitenin geri yüklenmesi de öneriler arasında yer aldı.
Wordfence'e göre bir sitenin etkilenmiş olması için iki koşulun birlikte sağlanması gerekiyor: Etkilenen UpdraftCentral bağlantı anahtarı mevcut olduğu sırada UpdraftPlus Free veya Premium kurulu ve etkin olmalı; ayrıca TeamUpdraft'ın bulut barındırmalı UpdraftCentral hizmeti için aktif bir bağlantı anahtarı bulunmalı ya da olay sırasında bulunmuş olmalı.

Geçmişte de Benzer Açık Sömürülmüştü​

Patchstack, bu gelişmenin aynı kanalda beş ay içinde yaşanan ikinci olay olduğuna dikkat çekti. Haziran 2026'da CVE-2026-10795 (CVSS puanı: 8.1) olarak kayıt altına alınan açık, eski ve imzasız bir mesaj formatının saldırganlara anahtar olmaksızın UpdraftCentral komutları oluşturma imkânı tanıdığını ortaya koymuştu. Bu açık 1.26.5 ve 2.26.5 sürümlerinde giderilmişti; ancak Patchstack, bu sürümlerin altında kalan sitelerin her iki sorunla aynı anda karşı karşıya olduğunu vurgulayarak istismar girişimlerinin sürdüğünü bildirdi.
Haber, Rank Math PRO WordPress eklentisinin web sitesinin bir yazılım tedarik zinciri saldırısına uğramasının ardından gündeme geldi. 15 Ekim saat 20:02 UTC ile 16 Ekim saat 07:12 UTC arasında 3.0.123 sürümünü indirenler, gizli arka kapılar içeren ele geçirilmiş sürümü almış oldu. CVE-2026-111862 olarak tanımlanan bu açığın CVSS puanı 9.8 olarak belirlendi ve sorun 3.0.124 sürümüyle giderildi. Öte yandan PHP, CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip edilen ve CVSS puanları 9.2 olan iki kritik güvenlik açığını kapatmak için bir güvenlik güncellemesi yayınlayacağını duyurdu; "PHP2Shell" olarak adlandırılan bu açıklar, planlanan açıklama tarihinden önce sızdı ve PHP 5, 6, 7 ile 8 sürümlerini etkiliyor.

Sıkça Sorulan Sorular​

TeamUpdraft'ın web sitesi ne zaman ihlal edildi?​

TeamUpdraft, 17-18 Ekim hafta sonunda teamupdraft.com adresine yetkisiz erişim gerçekleştirildiğini tespit ettiğini açıkladı.

İhlalden hangi kullanıcı verileri etkilendi?​

Erişilen müşteri veritabanı; isimler, e-posta ve fatura adresleri, sipariş geçmişi, karma biçimde saklanan hesap şifreleri, 2FA ayarları ile UpdraftCentral, UpdraftVault ve UpdraftClone bağlantı anahtarlarını içeriyordu. Finansal bilgiler veritabanında yer almıyordu.

Saldırganlar arka kapıyı WordPress sitelerine nasıl yükledi?​

Saldırganlar, ele geçirdikleri geçerli UpdraftCentral bağlantı anahtarlarını kullanarak bağlı WordPress sitelerine imzalı plugin.upload_plugin komutu gönderdi; WordPress bu komutu standart kurulum mekanizmasıyla işleyerek eklentiyi kurdu ve etkinleştirdi.

Etkilenip etkilenmediğini anlamak için hangi göstergelere bakılmalı?​

Patchstack ve Nethemba'nın paylaştığı uzlaşma göstergelerine göre; "Site Health Cache", "Asset Forge 2", "Content Helper", "Nav Hub" gibi eklenti adları ile system_team850, web.tech988, cmseditor170 gibi kullanıcı adları ve 43.250.53.42 ile 2a09:bac5:4e21:2e3c::49b:9 IP adresleri şüpheli işaretler arasında yer alıyor.

TeamUpdraft, ihlale karşı hangi teknik önlemleri aldı?​

Şirket; erişim yolunu kapattı, tüm hesaplardan oturum kapattı, etkilenmiş anahtarları yeniledi, UpdraftPlus 1.26.13 ve 2.26.13 sürümlerini yayınlayarak eski bağlantıları otomatik olarak devre dışı bıraktı, UpdraftVault sitelerinin bağlantısını keserek yeni kimlik bilgileri oluşturdu ve olayı İngiltere ICO dahil ilgili yetkililere bildirdi.