Giriş
Son günlerde, Smart Slider 3 Pro eklentisinin güncelleme sistemi kötü niyetli aktörler tarafından ele geçirildi. Bu durum, kullanıcıların güvenliğini ciddi şekilde tehdit eden bir arka kapı içeren zehirlenmiş bir sürümün dağıtılmasıyla sonuçlandı.
Saldırı Nasıl Çalışıyor?
Kötü niyetli taraflar, Nextend’in güncelleme altyapısına erişim sağlayarak, 3.5.1.35 sürümünü resmi güncelleme kanalı üzerinden dağıttı. Patchstack’e göre, 7 Nisan 2026 tarihinde yayınlanan bu güncellemeyi alan herhangi bir site, yaklaşık altı saat boyunca tam anlamıyla kötü amaçlı bir uzaktan erişim aracı ile güncellenmiş oldu.
Etkilenen Sistemler
Bu güvenlik açığı, Smart Slider 3 Pro eklentisinin 3.5.1.35 versiyonunu kullanan WordPress ve Joomla sitelerini etkilemektedir. Eklenti, hem ücretsiz hem de Pro sürümleri ile toplamda 800,000’den fazla aktif kurulum ile oldukça popülerdir.
Malware Özellikleri
Zehirlenmiş güncelleme, çeşitli kötü amaçlı işlevlere sahip bir arka kapı içermektedir. Patchstack’e göre bu malware aşağıdaki yeteneklere sahiptir:
- Ön kimlik doğrulama uzaktan kod çalıştırma: Kişisel HTTP başlıkları üzerinden, arka kapıyı kullanarak sistem komutları çalıştırma yeteneği.
- Yasadışı yönetici hesapları oluşturma: Ağır yönetici erişimi sağlayarak, meşru yöneticilerden gizlenmeyi başaran hesaplar oluşturmaktadır.
- Veri sızdırma: Site URL’si, arka kapı anahtarı, PHP versiyonu, kullanıcı adı ve parola gibi bilgileri komut ve kontrol (C2) alanına sızdırma yeteneği.
Çözüm ve Korunma
Nextend, olayın ardından güncelleme sunucularını kapattı ve kötü niyetli sürümü kaldırdı. Kullanıcılara, 3.5.1.36 sürümüne güncellemeleri önerilmektedir. Ayrıca, zararlı sürümü kullananların aşağıdaki temizleme adımlarını izlemesi önemlidir:
- Sürüm 3.5.1.35 olan Smart Slider 3 Pro’yu kaldırın.
- Temiz bir versiyonunu yeniden yükleyin.
- Sistemde bulunan şüpheli yönetici hesaplarını kontrol edin ve kaldırın.
- Tüm kalıcılık dosyalarını silin.
- Veritabanında zararlı WordPress seçeneklerini, (örn. _wpc_ak,_wpc_uid, _wpc_uinfo) kaldırın.
- Güvenlik ayarlarını gözden geçirin ve iki faktörlü kimlik doğrulamayı etkinleştirin.
Aksiyon
Bu olay, geleneksel savunma mekanizmalarının etkisiz hale gelebileceği bir tedarik zinciri ihlali örneğidir. Okuyucuların, ilk olarak eklentiyi güncellemeleri ve yukarıdaki adımları uygulayarak sistemlerini koruma altına almaları gerekmektedir. Ayrıca, FTP/SSH ve hosting hesap bilgilerini de değiştirmeleri önem arz etmektedir.
