Selam,
WordPress SEO eklentisi Rank Math PRO'nun 3.0.123 paketleri, 15 Ekim 2026 20:02 UTC ile 16 Ekim 07:12 UTC arasında (yaklaşık 11 saat) zararlı içerikle sunuldu. Ücretsiz WordPress.org sürümü etkilenmedi. Temiz sürüm 3.0.124. Bu yazıda kim etkilenir, neden "sadece güncelle" yetmez ve nasıl temizlenir anlatıyorum.
Kim etkileniyor?
- Pencere içinde rankmath.com'dan 3.0.123 indirip aktive eden siteler: ele geçirilmiş kabul edin.
- İndirip hiç aktive etmeyenler: eklenti klasörünü silin, 3.0.124 kurun, yine de tarayın.
- Ücretsiz Rank Math SEO (wordpress.org): bu olaydan etkilenmiyor.
Zararlının davranışına dair bilinenler
Üretici ve BleepingComputer özetine göre:
- Kalıcı erişim; sayfa ziyaretinde kendini yeniden oluşturabilen gizli backdoor
- C2/CDN göstergesi: rank1cdn[.]com (savunmada bloklayın)
- IoC örnekleri: wp-includes/class-wp-cache-util.php, wp_options anahtarı _np5pvf754c, cron işareti #ms6v46, wpsupport_ önekli sahte admin hesapları, @wp-mail.net e-postaları
- Veritabanı kimlik bilgileri, API anahtarları, bulut sırları risk altında
Kurtarma sırası (önerilen)
- Pencere öncesi temiz yedekten site + DB geri yükleyin (15 Ekim 20:02 UTC öncesi).
- Wordfence/Sucuri veya eşdeğeri ile tarayın.
- Tüm parolaları, tuzları, API anahtarlarını, veritabanı kullanıcısını döndürün.
- Temiz 3.0.124'ü doğrudan rankmath.com hesabınızdan indirip kurun (e-postadaki linklere güvenmeyin).
- rank1cdn.com çıkışını firewall/WAF'ta engelleyin.
Yedek yoksa üreticinin manuel temizleme adımları: eklenti klasörünü tamamen silmek, zararlı option/cron kayıtlarını kaldırmak, sahte admin aramak, .htaccess ve .cache dosyalarını incelemek, WordPress dışı (SSH authorized_keys, sistem cron) kontrol. Güncellemek tek başına backdoor'u silmez.
Hızlı av sorguları (lab/üretim, yedekli)
Kod:
# Dosya göstergeleri
find /var/www -name 'class-wp-cache-util.php' 2>/dev/null
# WP-CLI (yetkili ortam)
wp user list --role=administrator --fields=ID,user_login,user_email
wp option get _np5pvf754c 2>/dev/null || true
wp cron event list 2>/dev/null | headWebmaster notu
Ücretli eklenti güncelleme kanalı = tedarik zinciri yüzeyi. Staging'de önce güncelleyin; prod'da otomatik auto-update'i kritik eklentilerde dikkatli kullanın. Dosya bütünlüğü (Wordfence file diff, git deploy) bu sınıfta hayat kurtarır.
Yasal uyarı
İçerik yalnızca savunma ve bilinçlendirme içindir. Başkalarının sitelerine izinsiz müdahale suçtur (TCK 243-245).
Kaynaklar
- https://rankmath.com/kb/pro-3-0-123-security-incident/
- https://www.bleepingcomputer.com/news/se...-websites/
WordPress özelinde ek kontroller
wp-config.php izinleri, gereksiz dosya yazma hakları, eklenti/tema dizininde bilinmeyen PHP, users tablosunda son eklenen administrator'lar, options tablosunda base64/garip anahtarlar. Hosting paneli dosya değişim tarihçesi varsa pencere saatlerine bakın.
İletişim
Müşteri sitelerinde " Rank Math kullananlar mail atsın" diye duyuru yapın; utanç yerine net runbook verin. Ücretsiz sürüm kullanıcılarını panikletmeyin; PRO ve zaman penceresini vurgulayın.
Uygulamada sık gördüğüm hatalar
Birçok ekip yamayı "planlandı" diye işaretleyip internete açık yüzeyde günlerce bekletiyor. İkinci sık hata: yalnızca CVE numarasına bakıp zincir etkisini görmemek. Üçüncü hata: yama sonrası log ve dosya bütünlüğüne bakmamak; oysa yama öncesi sömürü olmuş olabilir. Bu üç noktayı kendi kontrol listenize eklemenizi öneririm.
Ekip içi iletişim şablonu
Yönetime veya müşteriye yazarken teknik jargonu azaltın: hangi varlık etkilendi, internete açık mı, yama var mı, geçici azaltma ne, doğrulama nasıl yapılacak. Tek paragrafta risk + eylem + sahiplik yazmak, uzun CVE özetinden daha hızlı karar aldırır.
Lab not defteri
Bu konuyu kendi defterime şu başlıklarla işliyorum: tarih, kaynak URL, etkilenen ürün/sürüm, internete açık mı, yama komutu, geri alma planı, IOC listesi, kime haber verildi. Siz de benzer basit bir şablon tutarsanız bir ay sonra "ne yapmıştık?" sorusu cevapsız kalmaz.
İzleme ve doğrulama
Değişiklikten sonra en az bir negatif ve bir pozitif kontrol tanımlayın. Negatif: alarm boş yere düşmemeli. Pozitif: bilinen kötü örneği veya beklenen log satırını yakalamalı. İkisini de kaydedin; aksi halde "sanırım düzeldi" ile yetinirsiniz.
Sonuç
Özetle: kaynağı okuyun, kendi envanterinize bağlayın, yama veya azaltmayı uygulayın, sonra doğrulayın. TurkTeam'de yorumlarda kendi ortamınızdan (ürün adı ve sürüm yeter, hassas IP yazmayın) kısa deneyim paylaşırsanız herkes faydalanır.
Adım adım kontrol listesi (kopyala-yapıştır)
- Kaynak duyuruyu ve varsa üretici güvenlik sayfasını arşivleyin (PDF/HTML).
- Envanterde etkilenen ürün var mı diye CMDB / agent raporu / netscan ile bakın.
- İnternete açık mı, yoksa yalnızca iç ağda mı? Buna göre SLA seçin.
- Yama veya yapılandırma azaltmasını stagingde deneyin.
- Üretim penceresinde uygulayın; değişiklik kaydı açın.
- Servis sağlık kontrolü + log doğrulaması yapın.
- Gerekliyse IOC avı veya compromise assessment planlayın.
- Kapanış notunu yazın: sürüm, tarih, kim onayladı.
Sık sorulanlar
Sadece okumak yeter mi? Hayır. Okuduktan sonra envanter satırına bağlanmayan bilgi operasyonel değildir.
PoC çalıştırmalı mıyım? Yalnızca izole lab ve yazılı izinle. İnternette rastgele deneme hem etik dışı hem yasadışı olabilir.
WAF / EDR tek başına kurtarır mı? Katmanlı savunma işe yarar ama yamanın yerini tutmaz; özellikle kimlik doğrulamasız RCE sınıflarında.
Ne zaman yönetime çıkmalıyım? İnternete açık kritik yüzey, aktif sömürü istihbaratı veya veri sızıntısı şüphesi varsa gecikmeden.
Örnek komut defteri
Kod:
# Tarih damgası ve ortam notu
date -Is
hostnamectl 2>/dev/null | head -5 || true
# Ağ dinleme özeti (lab)
ss -lntp | head -30
# Son reboot / güncelleme ipucu (systemd)
who -b 2>/dev/null || trueİlgili TurkTeam bölümleri
Bu yazıyı okuduktan sonra aynı kategorideki komşu konulara ve Soru-Cevap bölümüne kendi lab çıktınızı (hassas veri olmadan) taşıyabilirsiniz. Kısa ekran görüntüsü veya komut çıktısı, uzun teoriden daha çok işe yarar.
Kapanış ve yasal çerçeve
TurkTeam white-hat bir topluluktur. Anlatılan teknikler eğitim, savunma ve izinli test içindir. Başkalarının sistemlerinde izinsiz tarama, sömürü, veri çalma veya "hack hizmeti" sunmak forum kurallarına ve TCK 243, 244, 245 maddelerine aykırıdır. Kendi laboratuvarınızı izolasyonla kurun; üretim verisi kullanmayın. Kaynaklardaki bağlantıları birincil referans kabul edin; bu yazı özet ve yol göstericidir, üretici duyurusunun yerini tutmaz.