Son kontrol: 21 Ekim 2026. Bu yazı savunma amaçlıdır: siteni kontrol etmen ve temizlemen için. Zararlı kodun kendisi paylaşılmaz. Bilgiler Rank Math’in güvenlik duyurusunu ve Wordfence uyarısını aktaran haberlerden alındı.
Kısaca ne oldu?
WordPress’in en çok kullanılan SEO eklentilerinden Rank Math’in ücretli PRO sürümü, firmanın kendi indirme/güncelleme sisteminden bir süre zararlı kod içeren dosyayla dağıtıldı. Buna “tedarik zinciri saldırısı” denir: sen hiçbir hata yapmasan da güvendiğin yerden gelen güncelleme siteni ele geçirebilir.
- Etkilenen sürüm: Rank Math PRO 3.0.123, ama yalnızca 15 Ekim 23:02 – 16 Ekim 10:12 (TR saati) arasında rankmath.com’dan indirilen ya da otomatik güncellemeyle gelen kopyalar. (UTC: 15 Ekim 20:02 – 16 Ekim 07:12, yaklaşık 11 saat.)
- Temiz sürüm: 3.0.124.
- Etkilenmeyen: WordPress.org’daki ücretsiz Rank Math SEO eklentisi (4 milyondan fazla sitede kurulu). Firmaya göre sorun yalnızca PRO paketinde.
- Kayıt: CVE-2026-111862, Wordfence’e göre CVSS 9.8 (kritik).
- Kaç sitenin etkilendiği açıklanmadı. Rank Math “sınırlı sayıda kullanıcı” diyor; saldırganların sisteme nasıl girdiği de henüz açıklanmadı.
Zararlı kod ne yapıyor?
- Eklenti etkinleştirildiği anda siteye kalıcı arka kapı kuruyor. Biri siteyi her ziyaret ettiğinde gizli arka kapıyı yeniden oluşturabiliyor; yani dosyayı silmek tek başına yetmeyebilir.
- Sahte yönetici hesapları açabiliyor, sahte bir WordPress çekirdek dosyası ekleyebiliyor, zamanlanmış görev (cron) ve SSH anahtarı bırakabiliyor.
- Sitenin erişebildiği her sır açığa çıkmış sayılmalı: veritabanı şifresi, API anahtarları, ödeme ve e-posta (SMTP) bilgileri, bulut (AWS, Cloudflare, Google Cloud, Azure) anahtarları.
1. adım: Durumunu belirle
| Durumun | Ne demek? |
|---|---|
| 3.0.123’ü o 11 saatlik aralıkta kurup etkinleştirdin | Siteyi ele geçirilmiş say, sonradan 3.0.124’e güncellemiş olsan bile. |
| Kurdun ama hiç etkinleştirmedin | Eklenti klasörünü sil, hesabından 3.0.124’ü indir, güvenlik taraması yap. |
| İndirdin ama hiç kurmadın | Bu olay tek başına bir bulaşma göstermiyor; dosyayı sil, 3.0.124’ü indir. |
| Sadece ücretsiz Rank Math kullanıyorsun | Bu olaydan etkilenmedin (firma açıklaması). |
Hangi gün güncellendiğini bilmiyorsan: hosting panelindeki dosya değişiklik tarihlerine ya da yedek geçmişine bak.
2. adım: Ele geçirilme işaretlerini ara
Güvenlik firmalarının yayımladığı izler (IoC):
- Yönetici listesinde kullanıcı adı
wpsupport_ile başlayan ya da e-postası@wp-mail.netile biten hesap. wp-includes/class-wp-cache-util.phpdosyası. Bu, WordPress’in gerçek bir dosyası değil.wp_optionstablosunda_np5pvf754c,_uf6qdn2hmm,t8krdk990phbadlı kayıtlar.- Web sunucusu kullanıcısının crontab’ında
#ms6v46etiketli satır. .htaccessiçinde.cacheuzantılı dosyaları PHP gibi çalıştıran kural;.cacheuzantılı ama içinde PHP kodu olan dosyalar.- Sitenin rank1cdn[.]com adresine bağlanması (bu alan adı 14 Ekim’de, saldırıdan bir gün önce açılmış).
Wordfence’in uyarısı: Bu izleri bulamaman sitenin temiz olduğunu kesin kanıtlamaz.
3. adım: Temizlik (en iyisinden başlayarak)
- En güvenli yol: 15 Ekim 23:02’den (TR) önce alınmış temiz bir yedeğe dön (dosyalar + veritabanı), tara, sonra 3.0.124’ü kur.
- Yedek yoksa elle temizlik, şu sırayla:
rank-math-proklasörünü tamamen sil. Sadece devre dışı bırakmak ya da güncellemek yetmez.- Yukarıdaki üç
wp_optionskaydını sil. - Mümkünse sunucudan rank1cdn[.]com’a giden bağlantıyı engelle.
mu-plugins, diğer eklenti klasörleri, tema klasörleri veuploads/içinde beklenmedik PHP dosyalarını ara; yönetici hesaplarını,.htaccess’i, crontab’ları, SSH anahtarlarını kontrol et.
- Tüm şifreleri ve anahtarları değiştir (yedekten dönsen bile): WordPress yönetici şifreleri,
wp-config.phpiçindeki veritabanı şifresi, güvenlik anahtarları (salt), ödeme/SMTP/API anahtarları, hosting paneli, FTP/SFTP/SSH, yönetici iki adımlı doğrulaması. - Doğrula: Güvenlik taraması + WP-CLI ile
wp core verify-checksumsvewp plugin verify-checksums --all. (Not: PRO eklentinin resmi checksum’ı yok; bu komut onu kontrol edemez.)
Rank Math’ten gelecek e-postalara dikkat
Rank Math bazı kullanıcılara e-posta attı ve bazı müşterilerin hesap şifresini sıfırlaması gerekebileceğini söyledi. Firma, e-postayla giriş ya da indirme linki göndermeyeceğini belirtiyor. “Temiz sürümü buradan indir” diyen linkli e-postalar büyük ihtimalle oltalama; eklentiyi yalnızca rankmath.com hesabından indir.
Bu ilk değil
Son aylarda başka ücretli WordPress eklentilerinin güncelleme kanalları da ele geçirildi (Nisan’da Smart Slider 3 Pro, Haziran’da ShapedPlugin Pro eklentileri). Bu olaylar arasında bağlantı kanıtlanmadı ama ders aynı:
- Kullanmadığın eklentiyi kaldır.
- Düzenli, site dışında saklanan yedek al: 3-2-1 yedekleme kuralı
- Güncel saldırı listesi: Şu an aktif saldırı altındaki açıklar
Siten Rank Math PRO kullanıyor mu, kontrol ettin mi? Bir şey bulduysan aşağıya yaz. (Lütfen site adresi, şifre ya da log içeriği paylaşma.)
Kaynaklar: BleepingComputer, 19 Ekim, The Hacker News, 19 Ekim (Rank Math güvenlik duyurusu 16 Ekim, Wordfence uyarısı 17 Ekim, Patchstack kaydı). Kontrol tarihi: 21 Ekim 2026.