Bu hafta birbirinden bağımsız iki güvenlik haberi çıktı ve ikisi de aynı soruya çıkıyor: kendi sitemizi ne kadar tanıyoruz? Biri PHP’nin kendisindeki iki kritik açık, diğeri yedekleme eklentisi UpdraftPlus’ın üreticisinin yaşadığı veri ihlali. WordPress ile blog ya da kurumsal site çalıştıran herkesi ilgilendiriyor. Bildiklerimi ve kendi sitemde baktıklarımı yazıyorum.

PHP tarafında olanlar

21 Ekim’de duyurulan açıkların adı CVE-2026-109618 ve CVE-2026-109619. Biri bellek yetersizliği durumlarının hatalı ele alınmasından, diğeri bellek yönetiminde kullanım sonrası serbest bırakma (use-after-free) denen bir hatadan kaynaklanıyor. İkisi de kimlik doğrulaması olmadan uzaktan kod çalıştırmaya kapı açabiliyor. Singapur Siber Güvenlik Ajansı’nın uyarısında ikisine de CVSS v4.0 üzerinden 9,2 puan verildiği ve açıkların PHP’nin tüm sürümlerini etkilediği yazıyor. Aynı uyarıda yaygın sömürü denemeleri ile birden fazla kanıt kodu (PoC) olduğu da belirtiliyor. Yani teorik bir risk değil.

Çözüm sade: PHP’yi güncel sürüme çekmek. Düzeltmeler 21 Ekim’de yayımlandı, 8.2 dalı için 8.2.35 gibi. Paylaşımlı hosting kullanıyorsanız bunu sizin yerinize hosting yapmış olabilir, ama olabilir demekle emin olmak aynı şey değil. Hosting panelinizde PHP sürümü yazıyordur, bakın. Bir de geçici önlem var. SANS’ın aktardığına göre PHP ekibi, saldırı yollarından birini daraltmak için session.upload_progress.enabled ayarının kapalı tutulmasını öneriyor. Aynı yazıda yamanın bile aşılabildiğine dair bir not geçiyor, bu yüzden ayarı yamanın yerine değil, yamanın yanında düşünmek gerekiyor.

Kendi sitemde baktıklarım

Hosting panelinde PHP 8.2.35 çalışıyordu, yani düzeltilmiş sürümdeydi. Yine de 8.2 dalının güvenlik desteği 31 Aralık 2026’da bitiyor, madem açılmışken 8.3.36’ya geçtim. Geçişten sonra ana sayfayı, yazıları, iletişim formunu tek tek denedim. En çok merak ettiğim, uzun zamandır güncellenmemiş bazı eklentilerdi. Şimdilik sorun çıkmadı ama bunu tek seferlik bir kontrol olarak görmüyorum, birkaç gün gözümü açık tutacağım.

Yedekleme eklentisi neden haber oldu

UpdraftPlus’ın üreticisi TeamUpdraft, 17-18 Ekim hafta sonunda web sitesine yetkisiz erişim tespit ettiğini açıkladı. BleepingComputer’ın aktardığına göre saldırgan büyük ihtimalle müşteri veritabanına ulaştı. Orada müşteri ve fatura bilgileri, sipariş geçmişi, parola özetleri, iki adımlı doğrulama ayarları ve UpdraftCentral, UpdraftVault, UpdraftClone için bağlantı anahtarları vardı. Şirket ödeme bilgisi tutmadığını ve eklentinin dosyalarının etkilenmediğini söylüyor.

Asıl tehlike anahtarlarda. Patchstack’in raporuna göre saldırılar 18 Ekim’de başlamış. Saldırganlar çalınan anahtarlarla UpdraftCentral’a bağlı sitelere komut göndermiş, kod çalıştırmış, yönetici hesabı eklemiş. En az 99 zararlı eklenti kaydedilmiş ve bunların bir kısmı “Site Health Cache” gibi masum isimler taşıyormuş. Etkilenebilecek site sayısı için dolaşan rakam 400 bin civarı, ama bu bir tahmin, kesin sayı değil.

İşin ironik tarafı ortada. Sitenizi korumak için kurduğunuz yedekleme eklentisi, yanlış anahtar yanlış elde olunca sizi hedefe dönüştürebiliyor.

Bugün yapılacaklar

UpdraftPlus kullanıyorsanız önce sürüme bakın. Düzeltme ücretsiz sürümde 1.26.13, Premium’da 2.26.13 ile geldi. Bir önceki sürümün anahtarları silmesi gerekiyormuş ama bir hata yüzünden silememiş, o yüzden “güncelledim” demek yetmeyebilir. Eklentinin Gelişmiş Araçlar bölümündeki UpdraftCentral kısmına girip kayıtlı anahtar var mı diye bakın, varsa silin. UpdraftCentral kullandıysanız yedeklerin gittiği depo bağlantısını yeniden yetkilendirmek de mantıklı.

Sonra sitenin kendisine bakın: Eklentiler listesinde tanımadığınız bir şey, Kullanıcılar listesinde tanımadığınız bir yönetici var mı. Bir şey bulursanız temiz bir yedeğe dönmek, TeamUpdraft hesabınızın parolasını değiştirmek ve oturumları kapatmak gerekiyor. Kendi sitemde UpdraftCentral bağlantısı yoktu, tanımadığım bir eklenti ya da kullanıcı da çıkmadı. Bu yazıyı yazarken bir kez daha baktım.

Bu iki haberden çıkardığım ders sıkıcı ama hiç eskimiyor: güncel olmayan her yazılım bir saldırı yüzeyi, yedekleme aracı da buna dahil. “Bunu zaten hosting halleder” diye düşünmek yerine bir kez bakmak çoğu zaman beş dakikalık iş. Sizin sitenizde en son ne zaman güncelleme yapıldı?

Dayandığım kaynaklar: BleepingComputer’ın UpdraftCentral haberi, Singapur Siber Güvenlik Ajansı’nın PHP uyarısı ve SANS Internet Storm Center günlüğü.