Rank Math Pro eklentisinin 3.0.123 sürümüne kötü amaçlı kod bulaştı

WordPress sitelerinde SEO düzenlemesi için kullanılan Rank Math SEO PRO eklentisinin 3.0.123 sürümü tedarik zinciri saldırısına uğradı. Şirketin açıklamasına göre 15 Ekim 2026 saat 20.02 UTC ile 16 Ekim 2026 saat 07.12 UTC arasında indirilen veya güncellenen paketlerin bir bölümünde kötü amaçlı kod vardı. NVD kaydı CVE-2026-111862 numarasıyla yayımlandı ve açık CVSS 3.1 ölçeğinde 9,8 puanla kritik olarak sınıflandırıldı. Rank Math, ücretsiz sürümün etkilenmediğini ve sorunun yalnızca Pro kullanıcılarını ilgilendirdiğini belirtiyor.

Önemli ayrıntı şu; sürüm numarasının 3.0.123 olması tek başına ihlal anlamına gelmiyor. Etkilenen dosyaların belirtilen zaman aralığında indirilmiş ya da güncellenmiş olması gerekiyor. Rank Math bu paketleri kaldırdı ve yerine temiz 3.0.124 sürümünü yayımladı.

Zararlı kod neler yapıyor

Olay duyurusuna göre zararlı yazılım sunucuda kalıcı erişim kurmaya çalışıyor, rank1cdn.com adresiyle haberleşiyor ve sayfa görüntülemelerinde silinen arka kapıları yeniden oluşturuyor. Kod, eklenti dosyaları etkinleştirildiği anda devreye giriyor. Saldırganın hedefi web sunucusunun erişebildiği WordPress ve veritabanı parolaları, API anahtarları ve diğer sırlar.

Şirket, eklentiyi bu aralıkta kurup etkinleştiren sitelerin ihlal edilmiş kabul edilmesini istiyor. Yalnızca indirip hiç etkinleştirmeyenler için dosyaları silmek, 3.0.124 sürümünü kurmak ve güvenlik taraması yapmak yeterli görülüyor.

İhlal işaretleri

Duyuruda sayılan göstergeler oldukça net. Veritabanındaki wp_options tablosunda _uf6qdn2hmm, t8krdk990phb ve _np5pvf754c adlı kayıtlar varsa site hedef alınmış demektir. Aynı şekilde wp-content/mu-plugins klasöründe, diğer eklentilerin içinde ya da varsayılan olmayan temaların inc, includes ve lib klasörlerinde base64_decode ile XOR döngüsü, xmmqhn anahtarı, proc_open veya PHP-FPM soket kodu içeren dosyalar aranmalı.

Yönetici listesinde wpsupport_ ile başlayan rastgele kullanıcı adları ya da @wp-mail.net adresli hesaplar görülürse bunlar saldırganın izi olabilir. wp-includes/class-wp-cache-util.php dosyası WordPress çekirdeğine ait değil. .htaccess içinde .cache dosyalarını PHP olarak çalıştıran kurallar ve sunucu crontab’ında #ms6v46 etiketli görevler de aynı zincirin parçası.

Temizlikte sıra önemli

Rank Math’ın önerdiği en güvenli yol, 15 Ekim 20.02 UTC öncesinde alınmış bir yedeğe dönmek. Yedek yoksa manuel temizlikte sıra kritik; önce rank-math-pro klasörünün tamamı silinmeli, ardından üç zararlı wp_options kaydı kaldırılmalı ve mümkünse rank1cdn.com adresine giden bağlantılar engellenmeli. Bu üç adım tamamlanmadan diğer dosyaları silmek işe yaramıyor, çünkü zararlı kod kendini sayfa ziyaretlerinde yeniden kuruyor.

Temizlik sonrası eklentinin 3.0.124 sürümü rankmath.com üzerinden, hesapla giriş yapılarak indirilmeli. Şirket e-posta ile giriş ya da indirme bağlantısı göndermediğini, bu tür iletilerin şüpheyle karşılanması gerektiğini ayrıca belirtiyor. Etkilenen sitelerde WordPress, veritabanı, barındırma, FTP ve SSH parolalarının yanı sıra ödeme ve SMTP gibi servis anahtarlarının da yenilenmesi gerekiyor.

Kısa özet

Rank Math Pro kullanıyorsanız eklenti sürümünü ve güncelleme tarihini kontrol edin. 3.0.123 sürümünü belirtilen aralıkta kurduysanız siteyi ihlal edilmiş sayıp yedekten dönün. Sürüm 3.0.124 ise ya da ücretsiz sürümü kullanıyorsanız ek bir işlem gerekmiyor.

Kaynak: Rank Math · NVD