Çalınan UpdraftCentral anahtarlarıyla WordPress sitelerine arka kapı yerleştiriliyor

Popüler yedekleme eklentisi UpdraftPlus'ın geliştiricisi TeamUpdraft'tan çalınan UpdraftCentral bağlantı anahtarları, WordPress sitelerine arka kapı yerleştirmek için kullanılıyor. BleepingComputer'ın aktardığına göre TeamUpdraft, teamupdraft.com sitesine yönelik yetkisiz erişimi 17-18 Ekim hafta sonunda tespit etti; güvenlik şirketleri ise müşteri sitelerine yönelik saldırıların saatler içinde başladığını bildiriyor.

Neler oldu?

BleepingComputer'a göre TeamUpdraft, saldırganın fatura bilgileri, sipariş geçmişi, parola özetleri, iki faktörlü kimlik doğrulama ayarları ile UpdraftCentral, UpdraftVault ve UpdraftClone bağlantı anahtarlarını içeren müşteri veritabanına eriştiğini düşünüyor. Şirket, ödeme bilgisi saklamadığını, UpdraftPlus eklenti dosyalarının ve indirmelerinin etkilenmediğini, kendi sunucusunda barındırılan UpdraftCentral kurulumlarının da risk altında olmadığını açıkladı. Haberde saldırganın sisteme nasıl girdiği yer almıyor.

TeamUpdraft, erişim yolunu kapattığını, tüm hesapların oturumlarını sonlandırdığını ve etkilenmiş olabilecek anahtar ve kimlik bilgilerini değiştirdiğini belirtti.

Teknik detaylar

UpdraftCentral, WordPress sitelerini uzaktan yönetmeye yarayan bir panel. BleepingComputer'ın aktardığına göre saldırganlar çalınan anahtarlarla bu yönetim kanalı üzerinden imzalı komutlar göndererek sitelerde istedikleri kodu çalıştırabiliyor ve yönetici hesapları oluşturabiliyor.

Patchstack, saldırıların 18 Ekim'de 15:32 UTC'de başladığını ve "Site Health Cache" gibi bakım veya optimizasyon aracı kılığına girmiş, farklı adlara sahip en az 99 zararlı arka kapı eklentisi kaydettiğini söyledi. Patchstack'e göre ilk varyant bir kodlama hatası nedeniyle çalışmıyor.

Güvenlik şirketi Nethemba ise kendi WordPress sitelerinden üçünün UpdraftCentral üzerinden hedef alındığını, ikisine zararlı eklenti kurulduğunu açıkladı. Üç sitede de WordPress 7.1.3 ve CVE-2026-10795 açığına karşı yamalı UpdraftPlus 2.26.11 çalışıyordu; bu da saldırganın bir yazılım açığına değil geçerli anahtarlara dayandığını gösteriyor. Nethemba'nın tarif ettiği yeni varyant, yetkili hesap açabiliyor veya mevcut yöneticiler adına oturum açabiliyor. Şirket ayrıca UpdraftCentral Cloud anahtarlarını silmesi amaçlanan ilk düzeltmenin (1.26.12/2.26.12) bir hata nedeniyle işe yaramadığını bildirdi.

Kimler etkileniyor?

Habere göre UpdraftPlus sitelerinin yaklaşık yüzde 10'unda UpdraftCentral veya Migrator anahtarı bulunuyor; bu da yaklaşık 400 bin web sitesinin risk altında olabileceği anlamına geliyor. TeamUpdraft'ın barındırdığı UpdraftCentral hizmetine bağlı siteler risk altındayken kendi sunucusunda panel çalıştıranlar etkilenmiyor.

Ne yapmalı?

• UpdraftPlus'ı 1.26.13 (ücretsiz) veya 2.26.13 (Premium) ya da daha yeni bir sürüme güncelleyin.
• Ayarlar, UpdraftPlus Backups, Advanced Tools, UpdraftCentral, Manage existing keys yolundan UpdraftCentral bağlantı anahtarlarını silin.
• TeamUpdraft, Patchstack ve Nethemba'nın yayımladığı göstergelerle günlükleri, eklenti listesini ve yönetici hesaplarını inceleyin.
• Depolama kimlik bilgilerini değiştirin ve uzak depolama bağlantılarını yeniden yetkilendirin.
• Ele geçirme doğrulanırsa temiz bir yedekten geri dönün, TeamUpdraft hesap parolasını değiştirin, tüm oturumları kapatın ve iki faktörlü doğrulamayı sıfırlayın.