TeamUpdraft’ın internet sitesine yönelik yetkisiz erişim, WordPress sitelerini uzaktan yönetmek için kullanılan UpdraftCentral bağlantı anahtarlarının ele geçirilmesine yol açmış olabilir. Güvenlik araştırmacıları, saldırganların çalınan anahtarlarla bağlantılı sitelere kötü amaçlı eklentiler yükleyerek yönetici yetkileri kazanmaya başladığını bildiriyor. TeamUpdraft, etkilenen kullanıcıların UpdraftPlus eklentisini güncellemesini, eski bağlantı anahtarlarını kaldırmasını sitelerinde yetkisiz değişiklik olup olmadığını incelemesini öneriyor.
TeamUpdraft İhlalinde Müşteri Verileri Bağlantı Anahtarları Risk AltındaTeamUpdraft, 17-18 Ekim 2026 hafta sonunda teamupdraft. altyapısına yetkisiz erişim gerçekleştiğini açıkladı. Şirket, erişim yolunu kapattığını, tüm hesapların oturumlarını sonlandırdığını etkilenmiş olabilecek anahtarlarla kimlik bilgilerini yenilediğini belirtti. İlk incelemeye göre saldırganlar müşteri veritabanına erişmiş olabilir.
Arka kapı eklentisi adlarıEtkilenmiş olabilecek bilgiler arasında müşteri fatura kayıtları, sipariş geçmişi, parola özetleri, iki faktörlü kimlik doğrulama ayarları UpdraftCentral, UpdraftVault UpdraftClone hizmetlerine ait bağlantı anahtarları bulunuyor. TeamUpdraft, ödeme kartı bilgilerinin sistemlerinde saklanmadığını açıkladı. Şirket ayrıca UpdraftPlus eklenti dosyalarının indirme hizmetinin etkilenmediğini, kendi sunucularında barındırılan UpdraftCentral kurulumlarının olaydan etkilenmediğini bildirdi.
TeamUpdraft’ın ürün ailesinde UpdraftPlus, WordPress sitelerinin yedeklenmesi geri yüklenmesi için kullanılıyor; UpdraftCentral birden fazla sitenin uzaktan yönetilmesini sağlıyor. UpdraftVault bulut tabanlı yedekleme depolaması sunarken UpdraftClone test hazırlık ortamları oluşturuyor. hizmetler arasındaki bağlantı anahtarlarının ele geçirilmesi, saldırganların doğrudan web sunucularına sızmadan yetkili yönetim kanalını kötüye kullanmasına zemin hazırlayabiliyor.
WordPress güvenlik şirketi Patchstack’in araştırmasına göre saldırılar 18 Ekim 2026 tarihinde saat 15.32 UTC’ başlamış. Araştırmacılar, saldırganların uzaktan komut çalıştırmak tam yönetici yetkilerine sahip hesaplar oluşturmak amacıyla ele geçirilen UpdraftCentral anahtarlarını kullandığını bildiriyor. Patchstack, WordPress bakım veya optimizasyon araçlarına benzeyen farklı adlarla gizlenmiş en az 99 kötü amaçlı eklenti tespit etti; bunlar arasında “Site Health Cache” adı bulunuyor.
Patchstack’in incelediği ilk arka kapı eklentisi, kodlama hatası nedeniyle düzgün çalışmayan sürüm içeriyordu. Web uygulaması güvenliği şirketi Nethemba ise daha yeni varyantın saldırganlara ayrıcalıklı hesaplar oluşturma veya mevcut yöneticiler gibi oturum açma olanağı verdiğini aktardı. Nethemba, kendi üç WordPress sitesinin UpdraftCentral üzerinden hedef alındığını, iki siteye kötü amaçlı eklentilerin başarıyla yüklendiğini açıkladı.
Nethemba’nın bildirdiğine göre hedef alınan üç site WordPress 7.1.3 UpdraftPlus 2.26.11 sürümlerini kullanıyordu. Araştırmacılar, söz konusu kurulumların Haziran ayında açıklanan CVE-2026-10795 güvenlik açığına karşı yamalı olduğunu belirtti. Nethemba, saldırganların sunuculara doğrudan sızmadığını veya yanlış yapılandırmadan yararlanmadığını, geçerli özel pano anahtarlarıyla imzalanmış komutlar üzerinden UpdraftCentral uzaktan yönetim kanalını kullandığını vurguladı.
TeamUpdraft, UpdraftPlus kullanıcılarının bağlantı güvenliğini yeniden sağlaması için belirli adımlar öneriyor. Şirketin ilk olarak yayınladığı 1.26.12 2.26.12 sürümlerinin UpdraftCentral Cloud anahtarlarını kaldırmayı amaçladığı, ancak hata nedeniyle işlemin gerçekleşmediği bildirildi. nedenle kullanıcıların ücretsiz sürümde UpdraftPlus 1.26.13’e, Premium sürümde ise 2.26.13’e veya daha yeni sürüme geçmesi gerekiyor.
Güncellemenin ardından yöneticilerin her WordPress sitesine ayrı ayrı giriş yaparak eski UpdraftCentral bağlantı anahtarlarını silmesi öneriliyor. İlgili ayar yolu WordPress yönetim panelinde Settings → UpdraftPlus Backups → Advanced Tools → UpdraftCentral → Manage existing keys şeklinde ilerliyor. UpdraftCentral üzerinden site bağlantısı kullananların uzaktaki yedekleme depolarına ait kimlik bilgilerini yenilemesi bağlantıları yeniden yetkilendirmesi tavsiye ediliyor.
Güncel eklenti sürümüne geçmek, daha önce siteye yerleştirilmiş kötü amaçlı bileşenlerin otomatik olarak temizlendiğini garanti etmiyor. nedenle yöneticilerin TeamUpdraft, Patchstack Nethemba tarafından ılan ihlal göstergelerini kullanarak sunucu kayıtlarını, eklenti dizinlerini yönetici hesaplarını incelemesi gerekiyor. Beklenmeyen yönetici hesapları, tanınmayan eklentiler olağan dışı uzaktan komut etkinlikleri ayrıntılı inceleme gerektiren işaretler arasında yer alıyor.
WordPress sitesinin ele geçirildiği doğrulanırsa güvenilir temiz yedekten geri yükleme yapılması, TeamUpdraft hesabının parolasının değiştirilmesi, etkin oturumların sonlandırılması iki faktörlü kimlik doğrulama yönteminin sıfırlanması öneriliyor. Kendi uzaktaki depolama alanlarında tutulan yedeklerin doğrudan etkilenmediği belirtilse yöneticilerin bağlantı bilgilerini yenilemesi, yedeklerin bütünlüğünü ayrıca kontrol etmesi gerekiyor. güncel eklenti kullanmanın tek başına yeterli olmadığını; uzaktan yönetim anahtarlarının, hesap oturumlarının yönetici erişimlerinin düzenli olarak denetlenmesi gerektiğini gösteriyor.
