Rank Math PRO güncellemesine arka kapı yerleştirildi, WordPress siteleri risk altında

Popüler WordPress SEO eklentisi Rank Math'in ücretli sürümü Rank Math PRO'nun 3.0.123 sürümüne saldırganlar tarafından zararlı kod yerleştirildi. SecurityWeek'in 19 Ekim'de aktardığına göre zehirli paketler 15 Ekim 2026 saat 20:02 UTC ile 16 Ekim 07:12 UTC arasında dağıtıldı ve sıradan bir güncelleme, sitelerin ele geçirilmesine kapı açan bir arka kapıya dönüştü. Şirket, etkilenen dosyaları kaldırdığını ve temiz bir sürüm yayımladığını açıkladı.

Neler oldu?

SecurityWeek'e göre sorun yalnızca yaklaşık 11 saatlik bu zaman aralığında indirilen veya güncellenen Rank Math PRO 3.0.123 paketlerini kapsıyor. Eklenti etkinleştirildiğinde eklenen kod saldırganların web sitesini ele geçirmesine imkân tanıyabiliyor. Şirket, SecurityWeek'in aktardığı açıklamasında etkilenen dosyaları hemen kaldırdıklarını ve temiz Rank Math PRO v3.0.124 sürümünü yayımladıklarını belirtti.

Haberde saldırganların dağıtım kanalına nasıl eriştiği, saldırının arkasında kimin olduğu ve zehirli sürümün kaç siteye yüklendiği bilgisine yer verilmiyor.

Teknik detaylar

SecurityWeek'in aktardığına göre zararlı yazılım siteye kalıcı erişim sağlayabiliyor ve kurulumda saklanan kimlik bilgilerini, API anahtarlarını ve diğer gizli verileri açığa çıkarabiliyor. Her sayfa ziyaretinde gizli bir arka kapıyı yeniden oluşturabildiği için elle temizlik zorlaşabiliyor.

Zararlı kod ayrıca sahte WordPress çekirdek dosyaları bırakabiliyor, .cache dosyalarının PHP olarak çalışması için .htaccess dosyasını değiştirebiliyor, PHP içeren .cache dosyaları ekleyebiliyor, zamanlanmış görevler ve cron işleri oluşturabiliyor, diğer eklenti ve temaları değiştirebiliyor ve ek dosyalar yükleyebiliyor. SecurityWeek, değişikliklerin WordPress kurulumunun ötesine geçip sunucunun kendisine uzanabileceğine dikkat çekti. Zararlı altyapının parçası olarak rank1cdn[.]com alan adı belirtiliyor.

Kimler etkileniyor?

Dağıtım aralığında Rank Math PRO 3.0.123'ü kurup etkinleştiren tüm WordPress siteleri risk altında. Haberdeki zaman çizelgesine göre 15 Ekim 20:02 UTC'den önce ya da 16 Ekim 07:12 UTC'den sonra güncelleme yapan veya doğrudan 3.0.124'e geçen siteler bu paketten etkilenmiyor. Ücretsiz Rank Math eklentisinin etkilendiğine dair bir bilgi bulunmuyor.

Ne yapmalı?

SecurityWeek'in aktardığı önerilere göre bu aralıkta 3.0.123'ü kurup etkinleştiren siteler ele geçirilmiş kabul edilmeli ve olaydan önce alınmış temiz bir yedekten geri yüklenmeli. Temiz yedek yoksa yöneticiler şunları yapmalı:

• Rank Math PRO eklenti klasörünü silmek ve zararlı veritabanı kaydını kaldırmak,
• rank1cdn[.]com alan adını engellemek,
• şüpheli PHP dosyalarını ve tanınmayan yönetici hesaplarını bulup kaldırmak,
• sunucuda tanınmayan SSH authorized_keys kayıtlarını, diğer sistem kullanıcılarına ait crontab'ları, şüpheli süreçleri ve web sunucusu kullanıcısının yazabildiği diğer konumları kontrol etmek.

Sitenin temiz olduğu doğrulandıktan sonra tüm parolalar değiştirilmeli, API anahtarları ve gizli bilgiler yenilenmeli, ardından Rank Math PRO 3.0.124 veya daha yeni bir sürüm kurulmalı.