DreamHost'ta File Manager ihlali: FTP/SFTP ve bazı webmail kimlik bilgileri ele geçirildi
DreamHost, web tabanlı File Manager sunucusundaki üçüncü taraf yazılım açığının yaklaşık Ağustos'tan 23 Ekim'e kadar istismar edildiğini, bu sürede giriş yapan kullanıcıların FTP/SFTP kimlik bilgilerinin ve sınırlı sayıda webmail hesabının ele geçirildiğini doğruladı.
ABD merkezli hosting şirketi DreamHost, müşterilerin tarayıcıdan site dosyalarını yönettiği files.dreamhost.com adresindeki File Manager sunucusuna yetkisiz erişim olduğunu doğruladı. Şirketin 29 Ekim'de yayımladığı açıklamaya göre saldırgan, File Manager'ın dayandığı üçüncü taraf yazılımdaki bir açığı istismar etti. İhlal 23 Ekim öğleden sonra fark edildi. Regülatörlere gönderilen bildirime göre etkilenme penceresi yaklaşık Ağustos 2026'dan o güne kadar uzanıyor.
DreamHost olayı "kasıtlı bir saldırı" olarak nitelendiriyor. Bildirimin ayrıntıları 4 Kasım'da BleepingComputer haberiyle gündeme geldi.
Neler ele geçirildi?
Şirketin açıklamasına göre:
- Bu dönemde File Manager'a giriş yapan kullanıcıların FTP/SFTP kullanıcı adları ve parolaları saldırganın eline geçti.
- Saldırgan bazı webmail sistemlerine de ulaştı ve sınırlı sayıda webmail kullanıcısının giriş bilgilerini elde etti. DreamHost, "az sayıda vakada" bu bilgilerle posta kutusu içeriklerinin görüntülenmiş olabileceğini belirtiyor ve bu müşterilerle tek tek iletişime geçiyor.
- Etkilenen hesaplar, şirkette barındırılan e-posta ve FTP/SFTP hesaplarının "yaklaşık %10'unun oldukça altında". Mutlak bir sayı açıklanmadı.
DreamHost'a göre şimdiye kadar kontrol paneli girişlerine ya da fatura bilgilerine erişildiğine dair bir bulgu yok. Şirket tam kart numarası saklamadığını söylüyor. Olayın son PHP sunucu güncellemeleriyle ilgisi olmadığı da vurgulanıyor.
DreamHost ne yaptı?
Şirket, File Manager sunucularını aynı gün kapattı ve etkilenen sunucuyu adli inceleme için korumaya aldı. Etkilendiği düşünülen e-posta ve FTP/SFTP kullanıcılarının parolalarını sıfırladı, oturumlarını sonlandırdı ve dahili kimlik bilgilerini yeniledi. File Manager ek önlemler ve izlemeyle yeniden devreye alındı. Diğer müşteri araçları da benzer açıklar için inceleniyor. BleepingComputer'ın aktardığı bildirime göre etkilenenlere bir yıllık kredi izleme hizmeti sunuluyor.
Ne yapılmalı?
- Ağustos–23 Ekim 2026 arasında siz ya da FTP/SFTP kullanıcılarınızdan biri File Manager'a giriş yaptıysa, o kimlik bilgilerini ele geçirilmiş sayın. Parolayı yalnızca adres çubuğuna kendiniz yazdığınız panel.dreamhost.com üzerinden değiştirin.
- Aynı ya da benzer parolayı başka bir serviste kullanıyorsanız orada da değiştirin. Her kullanıcı için benzersiz parola kullanın.
- Kayıtlı eski parolaları e-posta, FTP ve SFTP istemcilerinde güncelleyin.
- Sitenizdeki dosyalarda tanımadığınız değişiklik, yeni eklenmiş betik ya da backdoor olup olmadığını kontrol edin. Salt okunur bir başlangıç, örneğin SSH erişimi olan hesapta son 90 günde değişen dosyaları listelemek olabilir:
find ~/ -type f -mtime -90 -name "*.php"- Webmail'de iletme (forwarding) kurallarını ve filtreleri gözden geçirin; sizin kurmadığınız kural varsa destek ekibine bildirin.
- Phishing'e dikkat edin: DreamHost e-postayla parola istemediğini açıkça belirtiyor. Olayı bahane eden "parolanızı doğrulayın" mesajlarına tıklamayın.
- Sitenizde kendi müşterilerinize ait kişisel veri tutuyorsanız, bildirim yükümlülükleriniz için hukuk danışmanınıza başvurun. Türkiye'deki veri sorumluları için bu, KVKK kapsamında ihlal bildirimi değerlendirmesi anlamına gelebilir.
