# 🚨 Rank Math PRO'ya arka kapı yerleştirildi: WordPress siten etkilendi mi? Adım adım kontrol **URL:** \ **Category:** Web · Sunucu · SEO\ **Tags:** guvenlik, wordpress, eklenti, arka-kapi, tedarik-zinciri\ **Created:** [Ekim 20, 2026, 10:13ös UTC](https://sibernobet.com/t/rank-math-proya-arka-kapi-yerlestirildi-wordpress-siten-etkilendi-mi-adim-adim-kontrol/163 "2026-10-20T22:13:01Z")\ **Posts on this page:** 1\ **Page:** 1
**Author:** ![Kalkan](https://sibernobet.com/user_avatar/sibernobet.com/kalkan/32/63_2.png) [@Kalkan](https://sibernobet.com/u/Kalkan)\ **Post date:** [Ekim 20, 2026, 10:13ös UTC](https://sibernobet.com/t/rank-math-proya-arka-kapi-yerlestirildi-wordpress-siten-etkilendi-mi-adim-adim-kontrol/163/1 "2026-10-20T22:13:01Z")
> **Son kontrol: 21 Ekim 2026.** Bu yazı savunma amaçlıdır: siteni kontrol etmen ve temizlemen için. Zararlı kodun kendisi paylaşılmaz. Bilgiler Rank Math’in güvenlik duyurusunu ve Wordfence uyarısını aktaran haberlerden alındı. ## Kısaca ne oldu? WordPress’in en çok kullanılan SEO eklentilerinden **Rank Math** ’in **ücretli PRO sürümü** , firmanın kendi indirme/güncelleme sisteminden bir süre **zararlı kod içeren** dosyayla dağıtıldı. Buna “tedarik zinciri saldırısı” denir: sen hiçbir hata yapmasan da güvendiğin yerden gelen güncelleme siteni ele geçirebilir. - **Etkilenen sürüm:** Rank Math PRO **3.0.123** , ama yalnızca **15 Ekim 23:02 – 16 Ekim 10:12 (TR saati)** arasında [rankmath.com](http://rankmath.com)’dan indirilen ya da otomatik güncellemeyle gelen kopyalar. (UTC: 15 Ekim 20:02 – 16 Ekim 07:12, yaklaşık 11 saat.) - **Temiz sürüm:** **3.0.124**. - **Etkilenmeyen:** [WordPress.org](http://WordPress.org)’daki **ücretsiz Rank Math SEO** eklentisi (4 milyondan fazla sitede kurulu). Firmaya göre sorun yalnızca PRO paketinde. - **Kayıt:** CVE-2026-111862, Wordfence’e göre CVSS **9.8** (kritik). - Kaç sitenin etkilendiği açıklanmadı. Rank Math “sınırlı sayıda kullanıcı” diyor; saldırganların sisteme nasıl girdiği de henüz açıklanmadı. ## Zararlı kod ne yapıyor? - Eklenti **etkinleştirildiği anda** siteye kalıcı arka kapı kuruyor. Biri siteyi her ziyaret ettiğinde gizli arka kapıyı **yeniden oluşturabiliyor** ; yani dosyayı silmek tek başına yetmeyebilir. - Sahte yönetici hesapları açabiliyor, sahte bir WordPress çekirdek dosyası ekleyebiliyor, zamanlanmış görev (cron) ve SSH anahtarı bırakabiliyor. - Sitenin erişebildiği **her sır açığa çıkmış sayılmalı** : veritabanı şifresi, API anahtarları, ödeme ve e-posta (SMTP) bilgileri, bulut (AWS, Cloudflare, Google Cloud, Azure) anahtarları. ## 1. adım: Durumunu belirle | Durumun | Ne demek? | | --- | --- | | 3.0.123’ü o 11 saatlik aralıkta kurup **etkinleştirdin** | Siteyi **ele geçirilmiş say** , sonradan 3.0.124’e güncellemiş olsan bile. | | Kurdun ama **hiç etkinleştirmedin** | Eklenti klasörünü sil, hesabından 3.0.124’ü indir, güvenlik taraması yap. | | İndirdin ama **hiç kurmadın** | Bu olay tek başına bir bulaşma göstermiyor; dosyayı sil, 3.0.124’ü indir. | | Sadece **ücretsiz** Rank Math kullanıyorsun | Bu olaydan etkilenmedin (firma açıklaması). | Hangi gün güncellendiğini bilmiyorsan: hosting panelindeki dosya değişiklik tarihlerine ya da yedek geçmişine bak. ## 2. adım: Ele geçirilme işaretlerini ara Güvenlik firmalarının yayımladığı izler (IoC): - Yönetici listesinde kullanıcı adı **`wpsupport_`** ile başlayan ya da e-postası **`@wp-mail.net`** ile biten hesap. - **`wp-includes/class-wp-cache-util.php`** dosyası. Bu, WordPress’in gerçek bir dosyası **değil**. - `wp_options` tablosunda **`_np5pvf754c`** , **`_uf6qdn2hmm`** , **`t8krdk990phb`** adlı kayıtlar. - Web sunucusu kullanıcısının crontab’ında **`#ms6v46`** etiketli satır. - `.htaccess` içinde **`.cache`** uzantılı dosyaları PHP gibi çalıştıran kural; `.cache` uzantılı ama içinde PHP kodu olan dosyalar. - Sitenin **rank1cdn[.]com** adresine bağlanması (bu alan adı 14 Ekim’de, saldırıdan bir gün önce açılmış). Wordfence’in uyarısı: Bu izleri bulamaman sitenin temiz olduğunu **kesin kanıtlamaz**. ## 3. adım: Temizlik (en iyisinden başlayarak) 1. **En güvenli yol:** **15 Ekim 23:02’den (TR) önce** alınmış temiz bir yedeğe dön (dosyalar + veritabanı), tara, sonra 3.0.124’ü kur. 2. **Yedek yoksa elle temizlik, şu sırayla:** - `rank-math-pro` klasörünü **tamamen sil**. Sadece devre dışı bırakmak ya da güncellemek **yetmez**. - Yukarıdaki üç `wp_options` kaydını sil. - Mümkünse sunucudan rank1cdn[.]com’a giden bağlantıyı engelle. - `mu-plugins`, diğer eklenti klasörleri, tema klasörleri ve `uploads/` içinde beklenmedik PHP dosyalarını ara; yönetici hesaplarını, `.htaccess`’i, crontab’ları, SSH anahtarlarını kontrol et. 3. **Tüm şifreleri ve anahtarları değiştir** (yedekten dönsen bile): WordPress yönetici şifreleri, `wp-config.php` içindeki veritabanı şifresi, güvenlik anahtarları (salt), ödeme/SMTP/API anahtarları, hosting paneli, FTP/SFTP/SSH, yönetici iki adımlı doğrulaması. 4. **Doğrula:** Güvenlik taraması + WP-CLI ile `wp core verify-checksums` ve `wp plugin verify-checksums --all`. (Not: PRO eklentinin resmi checksum’ı yok; bu komut onu kontrol edemez.) ## Rank Math’ten gelecek e-postalara dikkat Rank Math bazı kullanıcılara e-posta attı ve bazı müşterilerin hesap şifresini sıfırlaması gerekebileceğini söyledi. Firma, **e-postayla giriş ya da indirme linki göndermeyeceğini** belirtiyor. “Temiz sürümü buradan indir” diyen linkli e-postalar büyük ihtimalle oltalama; eklentiyi yalnızca [rankmath.com](http://rankmath.com) hesabından indir. ## Bu ilk değil Son aylarda başka ücretli WordPress eklentilerinin güncelleme kanalları da ele geçirildi (Nisan’da Smart Slider 3 Pro, Haziran’da ShapedPlugin Pro eklentileri). Bu olaylar arasında bağlantı kanıtlanmadı ama ders aynı: - Kullanmadığın eklentiyi kaldır. - Düzenli, **site dışında** saklanan yedek al: [3-2-1 yedekleme kuralı](https://sibernobet.com/t/59) - Güncel saldırı listesi: [Şu an aktif saldırı altındaki açıklar](https://sibernobet.com/t/155) Siten Rank Math PRO kullanıyor mu, kontrol ettin mi? Bir şey bulduysan aşağıya yaz. (Lütfen site adresi, şifre ya da log içeriği paylaşma.) _Kaynaklar: [BleepingComputer, 19 Ekim](https://www.bleepingcomputer.com/news/security/wordpress-seo-plugin-rank-math-compromised-to-backdoor-websites/), [The Hacker News, 19 Ekim](https://thehackernews.com/2026/10/popular-wordpress-seo-plugin-rank-math.html) (Rank Math güvenlik duyurusu 16 Ekim, Wordfence uyarısı 17 Ekim, Patchstack kaydı). Kontrol tarihi: 21 Ekim 2026._