TeamUpdraft ihlalinden çalınan anahtarlar WordPress sitelerine arka kapı kurdu
WordPress yedekleme eklentisi UpdraftPlus'ın geliştiricisi TeamUpdraft, 17-18 Ekim 2026 hafta sonunda teamupdraft.com'a yetkisiz erişim tespit etti. Patchstack'e göre saldırgan, ele geçirilen geçerli UpdraftCentral anahtarlarıyla bağlı sitelere arka kapı eklentileri kurdu. Sorun eklenti kodunda değil, anahtarların çalınmasında.
Müşteri veritabanına erişildi, anahtarlar siteleri açtı
TeamUpdraft, 19 Ekim 2026'da yayımladığı olay yazısında teamupdraft.com'a yetkisiz erişim tespit ettiğini bildirdi. Şirkete göre erişilen müşteri veritabanında ad, e-posta, fatura adresi, sipariş geçmişi, özetlenmiş parolalar, iki aşamalı doğrulama ayarları ve UpdraftCentral, UpdraftVault ve UpdraftClone bağlantı anahtarları vardı. Kart bilgisi tutulmuyor, ödemeleri Stripe ve PayPal işliyor. TeamUpdraft ayrıca UpdraftPlus eklenti dosyalarının ve indirmelerinin, kullanıcıların kendi uzak depolamasındaki yedeklerin ve kendi sunucusunda çalışan UpdraftCentral'in etkilenmediğini söylüyor.
Patchstack'in kayıtlarına göre saldırı 18 Ekim 15:32 UTC'de başladı: saldırgan, geçerli UpdraftCentral anahtarlarını kullanarak bağlı WordPress sitelerine arka kapı eklentileri kurdu. TeamUpdraft de saldırganın ele geçirilmiş bir anahtarla teamupdraft.com'a eriştiğini, ardından kullanıcı sitelerine olan bağlantıyı kullanarak yönetici hesapları oluşturup kötü amaçlı eklenti kurduğunu yazıyor ve bunun tam kapsamının bilinmediğini ekliyor. Şirket kendi müdahalesini de şöyle özetliyor: ekip gece boyunca çalışarak erişim yolunu kapattı, tüm hesapların oturumunu kapattı ve etkilenmiş olabilecek anahtarları yeniledi.
Arka kapı nasıl çalışıyor, hangi sürüm düzeltiyor
Patchstack'e göre kampanya 18-19 Ekim'de 18 saatlik bir pencerede sürdü; ilk kurulum 18 Ekim 15:32 UTC, son kayıt 19 Ekim 09:23 UTC. Şirket en az 99 farklı arka kapı eklentisi adı ve iki saldırgan IP adresi (biri IPv4, biri IPv6) kaydetti. Arka kapı eklentisi gizli bir URL parametresiyle tetikleniyor, Editor rolünde bir hesap açıyor, ardından bu hesaba manage_options ve install_plugins yetkisi veriyor. Hesap çerezle oturum açtığı için giriş formunu, iki aşamalı doğrulamayı ve giriş koruma eklentilerini atlıyor; eklenti silinse bile hesap kalıyor. Patchstack'e göre en güçlü isim göstergesi tekrar tekrar kullanılan "Site Health Cache" adı; ancak diğer adların çoğu rastgele olduğu için dosya düzeyinde en güvenilir işaret, tüm örneklerde aynı olan "Small maintenance toolkit: keeps option storage tidy." açıklaması.
Düzeltme için TeamUpdraft, 19 Ekim'de 22:00 BST sonrasında UpdraftPlus 1.26.13 (ücretsiz) ve 2.26.13 (Premium) sürümlerini yayımladı; bu sürümler UpdraftCentral anahtarlarını iptal ediyor. BleepingComputer'a göre Nethemba, önceki 1.26.12/2.26.12 sürümünün anahtarları silmesi gerekirken bir hata yüzünden silemediğini bildirdi. Patchstack'e göre anahtarların süresi dolmuyor: Kasım 2025'te üretilmiş anahtarlar Ekim 2026'da hâlâ çalışıyordu. Aynı yazı, teamupdraft.com hesap ekranında varsayılan işaretli "Add this website to UpdraftCentral" kutusunun site sahiplerinin istemediği anahtarlar yaratabileceğine dikkat çekiyor. Patchstack bunun CVE atanmamış bir anahtar ele geçirilmesi olduğunu belirtiyor.
Güncelleme anahtarı siliyor, arka kapıyı silmiyor
Patchstack'in vurgusu açık: bu, UpdraftPlus kodundaki bir güvenlik açığı değil, anahtar ele geçirilmesi. Bu yüzden eklentiyi güncel tutmak tek başına yetmiyor. 1.26.13 ve 2.26.13 yeni saldırıyı bağlantı yolundan keser, ama arka kapı eklentisini ve oluşturulmuş yönetici hesaplarını kaldırmaz. Patchstack, anahtarların silinmesini öneriyor (wp-admin üzerinden ya da wp option delete updraft_central_localkeys komutuyla); siteyi UpdraftCentral panelinden kaldırmak yeterli değil. BleepingComputer ise her sitede UpdraftPlus Backups > Advanced Tools > UpdraftCentral > Manage existing keys bölümünden anahtarları silmeyi öneriyor. TeamUpdraft'ın 22 Ekim 14:42 BST güncellemesi beklenmedik "editor" rollerini, tanınmayan eklentileri ve log'larda tanımadığınız IP adreslerini aramayı tavsiye ediyor.
Sızıntı doğrulanırsa BleepingComputer temiz yedekten geri yüklemeyi, TeamUpdraft hesap parolasını değiştirmeyi, oturumları iptal etmeyi ve iki aşamalı doğrulamayı sıfırlamayı öneriyor. Ölçek konusunda dikkatli olmak gerek: Patchstack UpdraftPlus için 4 milyonu aşan etkin kurulum bildiriyor; TeamUpdraft sayfasındaki 5 milyonu aşan rakam ise yalnızca UpdraftPlus'ı değil, şirketin tüm eklentilerinin kurulu olduğu siteleri anlatıyor. BleepingComputer, eklentiyi kullanan sitelerin tahmini yüzde 10'unda UpdraftCentral ya da Migrator anahtarı olabileceğini ve bunun yaklaşık 400.000 siteye karşılık geldiğini yazıyor. Bu bir maruziyet tahmini; arka kapılanan sitelerin doğrulanmış sayısı değil. TeamUpdraft ayrıca saldırının hızının yapay zeka kullanıldığını düşündürdüğünü yazıyor, yani bu bir şirket görüşü. Benzer bir WordPress tedarik zinciri hikâyesi için Rank Math PRO arka kapısı haberine da bakabilirsiniz.
Kaynaklarda Türkiye yok, o yüzden bu bölüm yorum
Üç kaynağın hiçbirinde Türkiye geçmiyor: ne Türkiye'deki etkilenen site sayısı ne de yerel bir kurum ya da düzenleyici açıklaması var. Haberler eklenti kullanıcılarına genel olarak seslenen bir olay anlatısı. Dolayısıyla bu bölüm kaynaklardan çıkan bir olgu değil, açıkça UNALSOFT yorumudur.
Yorumumuz şu: UpdraftPlus yaygın bir yedekleme eklentisi olduğu için Türkiye'de de çok sayıda sitede kurulu olması makul, ama bunun bir sayısı yok. Pratik sonuç sahibe ve siteyi yöneten ajansa düşüyor: sitenin UpdraftPlus kullanıp kullanmadığını, UpdraftCentral anahtarı olup olmadığını kontrol etmek ve yetkisiz yönetici hesabı ile eklenti taraması yapmak gerekiyor. Türkiye'deki etkilenen site sayısını ve yerel kurumların bir açıklama yapıp yapmayacağını bu kaynaklardan bilemiyoruz.
UNALSOFT açısı
Bu haberi bir eklenti açığı olarak değil, yönetim erişiminin dışarı çıkması olarak okuyoruz. Siteniz bir yedekleme ya da uzaktan yönetim eklentisine bağlıysa, o bağlantının anahtarı sitenizin yönetici şifresi kadar değerli. Pratik liste kısa: eklentiyi 1.26.13 / 2.26.13 ya da daha yeni sürüme güncelleyin, UpdraftCentral anahtarlarını silin, "Site Health Cache" adlı eklentiyi, beklenmedik editor hesaplarını, tanımadığınız eklentileri ve log'larda tanıdık olmayan IP adreslerini arayın. Web tasarım ve bakım tarafında bu tür eklenti bağlantılarını envanterde tutmayı bu yüzden ayrı bir iş sayıyoruz.
WordPress sitenizde hangi eklentiler yönetici erişimi taşıyor?
Yedekleme ve uzaktan yönetim bağlantılarınızı gözden geçirmek için kısa bir görüşme yeterli.