UpdraftCentral Anahtarları Çalındı: WordPress Siteleri Tehdit Altında

Popular WordPress yedekleme ve güvenlik eklentileri geliştiren TeamUpdraft, UpdraftCentral bağlantı anahtarlarının çalındığını ve bu durumun bağlı web siteleri için ciddi bir tehdit oluşturduğunu açıkladı.

Geçtiğimiz hafta sonu, TeamUpdraft’ın altyapısına yetkisiz erişim sağlandığını tespit ettiklerini belirten firma, saldırganların müşteri veritabanına erişmiş olabileceğini ifade etti. Bu veritabanında, müşteri bilgileri, faturalama detayları ve sipariş geçmişinin yanı sıra daha hassas bilgilerin de bulunduğu kaydedildi.

TeamUpdraft, olayın ardından derhal harekete geçerek erişim yollarını kapattıklarını, tüm hesapları çıkardıklarını ve etkilenmiş olabilecek anahtarları ve kimlik bilgilerini değiştirdiklerini açıkladı. Şirket, ödeme detaylarının saklanmadığını vurgularken, UpdraftPlus eklenti dosyalarının ve indirmelerinin etkilenmediğini belirtti. Ayrıca, kendi sunucularında barındırılan UpdraftCentral örneklerinin de etkilenmediği ifade edildi.

Ancak, UpdraftCentral üzerinden erişim sağlanan kullanıcıların, depolama kimlik bilgilerini değiştirmeleri ve bağlantıları yeniden yetkilendirmeleri önerildi. Yaklaşık %10 oranında UpdraftPlus kullanan sitelerin UpdraftCentral veya Migrator anahtarına sahip olduğu tahmin ediliyor, bu da yaklaşık 400,000 web sitesinin saldırıya açık olduğu anlamına geliyor.

Patchstack araştırmacısı Oliver Sild, saldırganların çalınan erişim anahtarlarını kullanarak UpdraftCentral'a bağlı sitelere arka kapı açmaya başladığını ve bu kampanyanın “wp2shell” saldırısından daha ciddi olabileceğini belirtti. Saldırılar, 18 Ekim tarihinde saat 15:32 UTC itibarıyla başlamış olup, keyfi kod çalıştırma ve tam yönetici yetkisine sahip hesaplar ekleme amacıyla gerçekleştirilmiştir.

Yapılan araştırmalar, WordPress bakım ve optimizasyon araçları olarak gizlenmiş en az 99 kötü niyetli arka kapı eklentisi tespit etti. Patchstack, bu eklentilerin erken bir varyantını tespit ettiğini ancak kodlama hatası nedeniyle çalışmadığını bildirdi. Nethemba adlı web uygulama güvenliği firması ise, saldırganların ayrıcalıklı hesaplar oluşturmasına veya mevcut yöneticiler olarak oturum açmasına olanak tanıyan daha yeni bir sürümü belgeledi.

Nethemba, kendi WordPress sitelerinin UpdraftCentral üzerinden hedef alındığını ve kötü niyetli eklentilerin iki tanesinde başarıyla yüklendiğini bildirdi. Üç sitenin de güncel WordPress sürümü 7.1.3 ve UpdraftPlus 2.26.11 kullandığı, bu sürümün Haziran ayındaki CVE-2026-10795 açığını kapattığı belirtildi.

Önerilen önlemler arasında UpdraftPlus'ın 1.26.13 (ücretsiz) veya 2.26.13 (Premium) ve üzeri sürümlerine güncellenmesi yer alıyor. Güncelleme sonrası, kullanıcıların her WordPress sitesine giriş yaparak Ayarlar > UpdraftPlus Yedeklemeleri > Gelişmiş Araçlar > UpdraftCentral > Mevcut Anahtarları Yönet bölümünden UpdraftCentral bağlantı anahtarlarını silmeleri tavsiye ediliyor.

Yönetici kullanıcıların, TeamUpdraft, Patchstack ve Nethemba tarafından sağlanan uzaktan erişim kanallarıyla ilgili log ve dosyaları kontrol etmeleri gerektiği vurgulanıyor. Eğer bir ihlal gerçekleştiği tespit edilirse, temiz yedeklerden geri yükleme yapılması, TeamUpdraft hesap şifresinin değiştirilmesi ve iki faktörlü kimlik doğrulama yönteminin sıfırlanması öneriliyor.