Rank Math PRO Güncelleme Kanalı Hacklendi: Kendi Kendini Onaran Arka Kapı Alarmı

WordPress ekosisteminde son yılların en büyük tedarik zinciri güvenlik açıklarından biri, milyonlarca web sitesini doğrudan etkileyen kritik bir olayla gün yüzüne çıktı. İsveçli barındırma grubu group.one bünyesinde faaliyet gösteren popüler WordPress SEO eklentisi Rank Math PRO, saldırganlar tarafından hedef alındı. Eklentinin ücretli versiyonunu doğrudan rankmath.com üzerinden indiren veya belirtilen zaman aralığında otomatik güncellemeleri alan web siteleri, sistemlerine entegre edilen tehlikeli bir arka kapı (backdoor) yazılımıyla karşı karşıya kaldı.

Kritik Zaman Penceresi ve Etkilenen Sürümler

Wordfence güvenlik kuruluşu tarafından CVE-2026-111862 koduyla takip edilen ve CVSS skoru 10 üzerinden 9.8 olarak derecelendirilen bu kritik açık, büyük bir tehlike arz ediyor. Yapılan resmi açıklamalara göre, tehlikeli kodlar 15 Ekim 2026 tarihinde UTC saatiyle 20:02 ile 16 Ekim 2026 tarihi 07:12 arasında indirilen veya güncellenen paketlerde yer aldı. Rank Math ekibi hemen harekete geçerek tehlikeli dosyaları sistemden kaldırdı ve temiz sürüm olarak 3.0.124 versiyonunu yayınladı.

Ancak, sadece yeni sürümü kurmak tek başına yeterli değil. Güvenlik analistleri, tehlikeli sürümün kurulup etkinleştirildiği her web sitesinin tamamen ele geçirilmiş kabul edilmesi gerektiğini vurguluyor. Eklentinin ücretsiz sürümü olan ve WordPress.org üzerinde 4 milyondan fazla aktif yüklemesi bulunan standart Rank Math SEO eklentisi bu olaydan etkilenmedi; tehdit yalnızca doğrudan üretici sitesinden edinilen Rank Math PRO versiyonunu kapsıyor.

Zararlı Yazılımın Çalışma Mekanizması ve Bıraktığı İzler

Saldırganların Rank Math'in kendi güncelleme mekanizmalarını nasıl manipüle ettiği henüz netlik kazanmazken, yazılımın sunucu içinde yarattığı tahribat son derece kapsamlı. Zararlı yazılım, temel olarak bir ziyaretçi siteye her girdiğinde gizli arka kapıyı yeniden oluşturabilecek mekanizmalara sahip. Yani basitçe şüpheli dosyaları silmek sorunu çözmüyor; arka plan süreçleri sistemi yeniden enfekte ediyor.

Saldırganların bıraktığı izler ve sistemde yarattığı değişiklikler şu başlıklar altında inceleniyor:

• Gizli Dosyalar ve Klasörler: Diğer eklentilerin klasörleri içerisine, tema dizinlerinin inc/, includes/ ve lib/ yollarına, ayrıca uploads/ dizinine yerleştirilmiş kötü amaçlı PHP dosyaları.
• Sahte Çekirdek Dosyaları: WordPress'in orijinal çekirdek dosyası gibi gizlenen wp-includes/class-wp-cache-util.php dosyası.
• Veritabanı Manipülasyonları: wp_options tablosunda yer alan _uf6qdn2hmm, t8krdk990phb ve _np5pvf754c isimli option girdileri.
• Yetkisiz Erişim Noktaları: wpsupport_ ile başlayan yönetici hesapları veya sonu @wp-mail[.]net ile biten e-posta adreslerine sahip arka kapı hesapları.
• Sunucu Seviyesi Değişiklikleri: .cache uzantılı dosyaların PHP olarak çalıştırılmasına izin veren manipüle edilmiş .htaccess kuralları, crontab görevleri (#ms6v46 etiketli) ve SSH authorized_keys dosyaları.

Bu düzeyde bir sızma, sitenin erişebildiği tüm veritabanı parolalarının, API anahtarlarının, ödeme geçidi kimlik bilgilerinin ve SMTP şifrelerinin tehlikeye atılmış olabileceği anlamına geliyor. Site yöneticilerinin tüm bu hassas bilgilerin ele geçirilmiş varsayımıyla hareket etmesi hayati önem taşıyor.

Kapsamlı Temizlik ve Kurtarma Adımları

Wordfence ve Rank Math yetkililerinin yayınladığı kılavuzlara göre, enfekte olmuş bir sitenin temizlenmesi katı bir sırayla yapılmalıdır. Doğru sıra takip edilmezse saldırganların bıraktığı tetikleyiciler sistemi yeniden ele geçirecektir:

1. Doğru Yedek Tespiti: Eğer 15 Ekim 20:02 UTC öncesine ait, kesinlikle temiz olduğundan emin olunan bir site ve veritabanı yedeği varsa, öncelikle bu yedeğe dönülmelidir.
2. Eklentinin Tamamen Kaldırılması: Hosting dosya yöneticisi veya FTP kullanarak rank-math-pro klasörünün tamamı sunucudan silinmelidir. Eklentiyi sadece WordPress panelinden pasif duruma getirmek kesinlikle yetersizdir.
3. Veritabanı Temizliği: wp_options tablosundaki zararlı girdiler (_uf6qdn2hmm, t8krdk990phb, _np5pvf754c) veritabanından tamamen temizlenmelidir.
4. Ağ Trafiği Kısıtlaması: Güvenlik duvarı veya hosting sağlayıcı izin veriyorsa, zararlının iletişim kurduğu rank1cdn[.]com adresine giden dış bağlantılar engellenmelidir. (İlgili alan adının 14 Ekim tarihinde, olaydan sadece bir gün önce kaydedildiği tespit edilmiştir).
5. Kod ve Dosya Taraması: base64_decode ile XOR döngüleri kullanan, xmmqhn anahtarını arayan veya proc_open barındıran tüm PHP dosyaları incelenmeli ve temizlenmelidir.

Tedarik Zinciri Güvenliğinde Artan Tehditler

Bu olay, 2026 yılı içerisinde premium WordPress eklentilerinin satıcı tabanlı güncelleme kanallarının hedeflendiği ilk olay değil. Nisan ayında Nextend'in güncelleme sistemi benzer şekilde bir backdoored Smart Slider 3 Pro sürümü servis etmiş, haziran ayında ise ShapedPlugin ürünlerinde de benzer güvenlik ihlalleri yaşanmıştı. Ayrıca Awesome Motive CDN komut dosyalarının manipüle edilmesi ve BdThemes API beslemesinin zehirlenmesi gibi vakalar da yazılım tedarik zincirinin ne kadar kırılgan olabileceğini bir kez daha gözler önüne serdi.

Sonuç olarak, Rank Math PRO olayından etkilenen kullanıcıların resmi web sitesi üzerinden doğrudan oturum açarak temiz 3.0.124 sürümünü indirmeleri, tüm yönetici şifrelerini, veritabanı kimlik bilgilerini ve iki aşamalı doğrulama anahtarlarını acilen yenilemeleri gerekmektedir. Güvenlik uzmanları, bu tür tedarik zinciri saldırılarının önümüzdeki dönemde artabileceği konusunda yazılım geliştiricilerini ve site yöneticilerini uyarmaktadır.