Son kontrol: 21 Ekim 2026, 19:00 (TR). Saldırı tekniği paylaşılmaz; bu yazı siteni kontrol edip temizlemen için.
Kısaca
- WordPress’in en popüler yedekleme eklentisi UpdraftPlus’ın (4 milyondan fazla kurulum) geliştiricisi TeamUpdraft, 17-18 Ekim hafta sonu kendi sitesine (teamupdraft.com) yetkisiz erişim olduğunu açıkladı.
- Saldırganın ulaştığı müşteri veritabanında ad, e-posta, fatura adresi, sipariş geçmişi, şifrelerin karma (hash) hâli, iki adımlı doğrulama ayarları ve en önemlisi UpdraftCentral, UpdraftVault ve UpdraftClone bağlantı anahtarları vardı. Kart bilgisi tutulmuyordu.
- UpdraftCentral, birden fazla siteyi tek panelden yönetme hizmeti. Bağlantı anahtarıyla bağlı siteye komut gönderilebiliyor. Saldırganlar çalınan anahtarlarla sitelere arka kapılı eklenti kurdu.
- Patchstack’e göre saldırılar 18 Ekim 15:32 UTC’de başladı ve yaklaşık 18 saat sürdü; “Site Health Cache” gibi bakım/hızlandırma aracı kılığında en az 99 farklı adla zararlı eklenti görüldü. UpdraftPlus kullanan sitelerin yaklaşık %10’unda UpdraftCentral ya da Migrator anahtarı olduğu, yani ~400.000 sitenin risk altında olabileceği tahmin ediliyor.
- Bir güvenlik firması (Nethemba), WordPress 7.1.3 ve güncel UpdraftPlus kullanan üç sitesinden ikisine eklenti kurulduğunu bildirdi. Yani sitenin güncel olması bu saldırıyı engellemedi; saldırgan “geçerli anahtarla” geldi.
Etkilenmeyenler
- UpdraftPlus eklentisinin kendisi ve indirme dosyaları temiz.
- Kendi sunucunda barındırdığın (self-hosted) UpdraftCentral kullanıyorsan etkilenmiyorsun.
- Kendi bulut depona (Google Drive, Dropbox, S3 vb.) giden yedekler bu olaydan etkilenmedi.
- UpdraftCentral’ı hiç bağlamadıysan risk çok düşük; yine de eklentiyi güncelle.
Ne yapmalısın? (her site için, sırayla)
- Siteye UpdraftCentral üzerinden değil, doğrudan kendi WordPress paneline (
/wp-admin) gir. - UpdraftPlus’ı 1.26.13 (ücretsiz) / 2.26.13 (Premium) ya da daha yenisine güncelle. Bu sürüm, 18 Ekim akşamından önce kurulmuş tüm UpdraftCentral bağlantılarını otomatik koparıyor. (İlk düzeltme 1.26.12’de bir hata yüzünden anahtarlar silinmiyordu; .13 şart.)
- Ayarlar → UpdraftPlus Yedekleri → Gelişmiş Araçlar → UpdraftCentral bölümünden eski bağlantı anahtarlarını sil.
- Kullanıcılar sayfasına bak: tanımadığın bir yönetici ya da editör hesabı varsa sil.
- Eklentiler sayfasına bak; varsa “Zorunlu (Must-Use)” sekmesini de kontrol et. Senin kurmadığın, “cache”, “health”, “optimizer”, “maintenance” gibi masum adlı bir eklenti görürsen sil.
- Tüm yönetici hesaplarının şifrelerini değiştir.
- Şüpheli bir şey bulduysan siteyi 17 Ekim’den önce alınmış temiz bir yedekten geri yükle.
- Siteyi UpdraftCentral’dan yönetiyorduysan uzak depolama bağlantını yeniden yetkilendir ve depolama erişim anahtarlarını değiştir. İşin bitince UpdraftCentral’a yeniden bağlanabilirsin.
- teamupdraft.com hesabın varsa: şifreni değiştir (aynı şifreyi başka yerde kullandıysan oralarda da), iki adımlı doğrulamayı sıfırla. “TeamUpdraft” adıyla gelen beklenmedik e-postalara karşı dikkatli ol; bu tür sızıntılardan sonra oltalama artar: Oltalama e-postası kontrol listesi
Neden önemli?
Bu, aynı hafta içinde ikinci WordPress tedarik zinciri olayı: önce Rank Math PRO’ya arka kapı yerleştirildi, şimdi de bir uzaktan yönetim hizmetinin anahtarları çalındı. Ders şu: Bir eklentiye ya da yönetim paneline sitene uzaktan komut gönderme yetkisi verdiysen, o firmanın güvenliği artık senin sitenin güvenliği. Kullanmadığın bağlantıları kapat, yönetici sayısını az tut, düzenli yedek al.
Aynı gün PHP’nin kendisinde de kritik açık kapatıldı; sunucunu da güncelle: PHP2Shell acil güncelleme
Siten UpdraftCentral’a bağlı mıydı, kontrolde bir şey çıktı mı? Aşağıya yaz. (Lütfen site adresi, kullanıcı adı ya da anahtar paylaşma.)
Kaynaklar: BleepingComputer, 20 Ekim, The Hacker News, 21 Ekim, Patchstack, 19 Ekim, Wordfence PSA, 19 Ekim; TeamUpdraft’ın resmi açıklaması (19 Ekim, teamupdraft.com blog). Kontrol tarihi: 21 Ekim 2026.