Rank Math PRO 3.0.123, satıcının kendi sitesinden indirilirken sitelere arka kapı yerleştirdi
WordPress SEO eklentisi Rank Math'in PRO sürümünde bir tedarik zinciri saldırısı yaşandı. 3.0.123 sürümünü 15 Ekim 20:02 UTC ile 16 Ekim 07:12 UTC arasında indirenler zararlı dosyalar aldı. Bu sürümü etkinleştirenlerin siteyi ele geçirilmiş sayması öneriliyor. Temiz sürüm 3.0.124.
Yaklaşık 11 saatlik pencerede indirilen PRO paketleri zararlıydı
Rank Math, PRO sürüm 3.0.123'ü 15 Ekim 2026'da 20:02 UTC ile 16 Ekim 2026'da 07:12 UTC arasında indiren sınırlı sayıda kullanıcıyı etkileyen bir güvenlik sorunu tespit ettiğini duyurdu. Şirkete göre etkilenen eklenti dosyaları, eklenti etkinleştirilirse siteyi ele geçirebilecek zararlı yazılım taşıyordu. BleepingComputer olayı, satıcının resmi sitesinden yapılan bazı indirmelerin sitelere gizli arka kapı yerleştirdiği bir tedarik zinciri saldırısı olarak aktarıyor ve pencereyi yaklaşık 11 saat olarak hesaplıyor.
Rank Math etkilenen dosyaları hemen kaldırdığını ve temiz bir sürüm olan 3.0.124'ü yayımladığını bildiriyor. Olay, 19 Ekim 2026 tarihli haberlerinde hem BleepingComputer hem SecurityWeek tarafından aynı sürüm ve zaman penceresiyle aktarıldı. Sorun yalnızca PRO sürümünü ilgilendiriyor: WordPress.org üzerindeki ücretsiz Rank Math SEO eklentisi etkilenmedi. BleepingComputer ücretsiz eklentinin 4 milyondan fazla sitede etkin olduğunu not ediyor. Ancak Rank Math, olaya yanıt olarak rankmath.com sistemlerini yenilediğini ve bu sırada 13-16 Ekim 2026 arasında açılan ücretsiz hesapların silindiğini belirtiyor; etkilenen kullanıcılara e-posta gönderildi ve Search Console verileri ile yapay zekâ araçları gibi hesaba bağlı özellikler için hesabın yeniden oluşturulması gerekiyor.
Zararlı kalıcı erişim kuruyor ve arka kapıyı yeniden yaratıyor
Rank Math'e göre zararlı yazılım kalıcı erişim sağlıyor, rank1cdn.com alan adıyla haberleşiyor ve enfekte siteye biri her girdiğinde gizli arka kapıları yeniden oluşturabiliyor. Sürümü kuran siteler veritabanı kimlik bilgilerini, API anahtarlarını ve web sunucusunun erişebildiği diğer sırları açığa çıkarma riskiyle karşı karşıya. Şirketin sayfasında ayrıca sahte bir WordPress çekirdek dosyası (wp-includes/class-wp-cache-util.php), wpsupport_ ile başlayan sahte yönetici hesapları, .htaccess üzerinden çalıştırılabilen .cache dosyaları ve şüpheli zamanlanmış görevler aranacak izler arasında sayılıyor.
Önerilen yol sürümün akıbetine göre değişiyor. 3.0.123'ü pencere içinde kurup etkinleştirenler siteyi ele geçirilmiş saymalı; Rank Math'in tercih ettiği çözüm, 15 Ekim 20:02 UTC öncesine ait temiz bir yedeğe dönmek, tarama yapmak, tüm parola ve kimlik bilgilerini değiştirmek ve ardından 3.0.124'ü kendi hesabından indirmek. Yedek yoksa elle temizlik gerekiyor ve sıra önemli: önce rank-math-pro klasörünün tamamı ile wp_options tablosundaki zararlı kayıtlar silinmeli, rank1cdn.com bağlantıları mümkünse engellenmeli. Şirketin ifadesiyle, yalnızca eklentiyi devre dışı bırakmak yeterli olmuyor. Sürümü kurup hiç etkinleştirmeyenlerin eklentiyi silmesi, 3.0.124'ü indirmesi ve siteyi taraması öneriliyor.
Resmi kanaldan inen güncelleme de saldırı yolu olabiliyor
Bir SEO eklentisi her sayfada çalışan, geniş yetkili bir yazılımdır. Saldırı bu yüzden sıradan bir eklenti açığından farklı: kullanıcı sahte bir siteden değil, satıcının kendi sitesinden indirme yapıyordu. Temizlik de zahmetli, çünkü zararlı arka kapıyı ziyaretle yeniden yaratabiliyor; dosyaları ayıklamadan önce bu mekanizmayı durdurmak gerekiyor. Rank Math, yedekten dönülse bile tüm parolaların, veritabanı bilgilerinin, WordPress tuz ve anahtarlarının, API anahtarlarının ile hosting ve SSH erişimlerinin değiştirilmesini istiyor.
Şirket ayrıca e-postayla indirme ya da giriş bağlantısı göndermeyeceğini belirtiyor ve temiz sürüm için doğrudan rankmath.com'a gidilmesini istiyor. Etkilenen site sayısını ve saldırganın ilk giriş yolunu BleepingComputer Rank Math'e sordu, ancak haberin yayımlandığı ana kadar yanıt alamadı. Aynı haber, VirusTotal'da aynı göstergeleri taşıyan bir PHP örneğini de anlatıyor; ancak bu dosyanın eklentiyle dağıtıldığını doğrulayamadığını belirtiyor.
Kaynaklarda Türkiye yok, o yüzden bu bölüm yorum
Üç kaynakta da Türkiye, Türk kullanıcılar ya da yerel bir kurum geçmiyor. Bu bölüm kaynaklardan çıkan bir olgu değil, açıkça UNALSOFT yorumudur. Bilinmeyenleri tek tek sayalım: Türkiye'de kaç sitenin etkilendiği, yerel hosting firmalarının bu paketi indirip indirmediği ve Türkiye'de bir düzenleyicinin ya da ulusal bir siber güvenlik kurumunun olaya tepki verip vermeyeceği haberlerde yer almıyor.
Yorumumuz şu: Rank Math, Türkiye'deki KOBİ sitelerinde de yaygın olabilecek bir eklenti sınıfını temsil ediyor ve PRO sürümünü kullanan her site kendi sürüm geçmişini kontrol etmeli. Yönetim panelinde 3.0.123 görünüyorsa ve etkinleştirme pencereye denk geliyorsa, haberdeki öneriler uygulanmalı. İlgili bir temizlik konusunu 1 Ekim'de ayrıca ele almıştık; o yazı bu olaydan bağımsız.
UNALSOFT açısı
Bu haberde işletme için ders sürüm ve kaynak denetimiyle yedek disiplini. Bir eklentiyi güncellemek ya da satıcının sitesinden indirmek tek başına güvenlik garantisi sayılmıyor; hangi sürümün ne zaman kurulduğunu bilmek ve etkinleştirmeden önce bir geri dönüş noktasına sahip olmak, işletmenin sigortasıdır. Site kurarken eklenti sayısını kısa tutmak, sürüm kayıtlarını saklamak ve siteden ayrı, düzenli yedek almak saldırı sonrası günleri kurtarır. Web tasarım tarafında sitelerin bu mantıkla kurulmasını bu yüzden ayrı bir iş sayıyoruz. Kaynaklarda Türkiye'ye dair veri olmadığından bu yazı yerel bir hukuki sonuç önermiyor.
Sitenizdeki eklentilerin sürümünü ve yedeğini en son ne zaman kontrol ettiniz?
Eklenti envanterinizi, sürüm kaynaklarınızı ve yedek düzeninizi birlikte gözden geçirmek için kısa bir görüşme yeterli.