ABD merkezli barındırma şirketi DreamHost, web tabanlı File Manager sunucusuna (files.dreamhost.com) yetkisiz erişim olduğunu duyurdu. Şirketin 29 Ekim 2026 tarihli “October Security Incident” açıklamasına göre olay 23 Ekim öğleden sonra keşfedildi; erişim penceresi yaklaşık Ağustos 2026’dan 23 Ekim’e kadar uzanıyor. Bu aralıkta File Manager’a giren kullanıcıların FTP ve SFTP kullanıcı adı–parola bilgileri ile sınırlı sayıda webmail oturumu etkilendi.

BleepingComputer’ın 4 Kasım özetine göre şirket, etkilenen kişilere Equifax üzerinden bir yıllık kredi izleme ve kimlik koruması da sunuyor. Kontrol paneli girişleri ve fatura/kart bilgilerine erişime dair kanıt bulunmadığı belirtiliyor.

Kısaca

  • Keşif: 23 Ekim 2026 öğleden sonra; File Manager üçüncü taraf yazılımındaki açıktan yararlanıldı.
  • Ağustos–23 Ekim 2026’da File Manager’a girenlerin FTP/SFTP kimlik bilgileri çalındı; sınırlı webmail kimlik bilgisi/oturumu da etkilendi.
  • Bazı e-posta kutularında içerik görüntülenmiş olabilir; şirket bu müşterileri ayrı ayrı bilgilendiriyor.
  • Kontrol paneli ve kart/fatura erişimine kanıt yok; kart ödemeleri üçüncü taraf işlemcide.
  • Etkilenen e-posta/FTP oranı “yaklaşık yüzde 10’un epey altında”; parolalar sıfırlandı, File Manager yeniden inşa edildi.

Ne oldu?

File Manager, müşterilerin site dosyalarını tarayıcıdan düzenlemesi için kullanılan bir araç. DreamHost’un anlatımına göre saldırgan, bu aracın dayandığı üçüncü taraf yazılımdaki bir açığı kullanarak File Manager’a giriş yapanların FTP/SFTP kullanıcı adı ve parolalarına ulaştı. Aynı erişimle bazı webmail sistemlerine de ulaşıldı; sınırlı sayıda webmail kullanıcısının oturum veya giriş bilgisi alındı. Şirket aynı gün bu parolaları sıfırladı ve aktif oturumları sonlandırdı.

DreamHost olayı kasıtlı bir saldırı olarak nitelendiriyor. Keşiften sonra File Manager sunucuları çevrimdışı alındı, açık kapatıldı, etkilenen hesapların parolaları sıfırlandı ve adli inceleme için sunucu muhafaza edildi. File Manager ek güvenlik önlemleri ve izlemeyle yeniden kurulup hizmete alındı. İç kimlik bilgileri döndürüldü; benzer müşteri araçları da gözden geçiriliyor. Dış güvenlik ve adli bilişim ekipleri şirketin kendi ekipleriyle birlikte çalışıyor.

Önemli bir sınır çizgisi var: Şirket, kontrol paneli oturumlarına veya müşteri fatura ayrıntılarına erişildiğine dair kanıt bulmadığını söylüyor. DreamHost tam kart numarası saklamıyor; kart ödemeleri üçüncü taraf bir işlemci üzerinden yürüyor. Bu, “tüm hesap ele geçti” anlamına gelmediğini gösteriyor; asıl risk FTP ile site dosyalarına ve sınırlı webmail erişimine kayıyor.

Kimler etkilendi?

DreamHost’un güncel analizine göre olay, barındırılan e-posta ve FTP/SFTP hesaplarının yalnızca bir bölümünü etkiledi; oran “yaklaşık yüzde 10’un epey altında” (well under approximately 10%). Etkilenmiş olabileceğiniz durumlar şöyle özetleniyor:

  • Siz veya hesabınızdaki bir FTP/SFTP kullanıcısı yaklaşık Ağustos 2026 ile 23 Ekim 2026 arasında File Manager’a giriş yaptıysa kullanıcı adı ve parolayı ele geçirilmiş sayın.
  • 23 Ekim’den sonra e-posta kullanıcınız oturumu kapatıldıysa ve eski parola çalışmayı bıraktıysa bu, şirketin ihtiyatlı parola sıfırlamasıdır.
  • İlk uyarı e-postasını alan herkesin kesin etkilendiği anlamına gelmiyor; şirket ilk tahminden daha az hesabın etkilendiğini belirtiyor.
  • Eski parola hâlâ çalışıyorsa ve siz değiştirmediyseniz, mevcut incelemeye göre o kimlik bilgisi bu olayda ifşa olmamış olabilir; yine de değiştirmek öneriliyor.

Şirket, etkilenen posta, FTP ve SFTP hesaplarının hizmet olarak durduğunu; ancak yeniden giriş için hesabın asıl sahibinin kontrol panelinden yeni parola belirlemesi gerektiğini vurguluyor. Parola değişikliğinin etkili olması 15 dakikayı bulabiliyor.

Neden önemli?

FTP/SFTP parolası, bir web sitesinin dosya sisteminin anahtarıdır. Saldırgan bu kimlik bilgisiyle siteye zararlı betik ekleyebilir, yönlendirme kuralları koyabilir, yedekleri indirebilir veya mevcut içerikleri değiştirebilir. Webmail oturumu ise gelen kutuya, iletme kurallarına ve filtre ayarlarına yol açar; “sessiz” bir iletme kuralı aylarca fark edilmeyebilir.

DreamHost ayrıca PHP yamalarıyla ilgili bir not düşüyor: Bu olay son PHP sunucu güncellemeleriyle bağlantılı değil. PHP sunucuları yamalar çıktıktan saatler içinde güncellenmiş; web uygulama duvarı da yama öncesi günlerde on binlerce saldırı denemesini engellemiş. Yani “PHP yaması yüzünden oldu” anlatısı bu ihlali açıklamıyor; asıl nokta File Manager’daki üçüncü taraf yazılım açığı.

Veri ihlallerinin ardından sahte “parolanızı doğrulayın” e-postaları artar. DreamHost, sizden parola istemeyeceğini; olay bildirimleri dışında otomatik “parola sıfırla” postası göndermeyeceğini ve parola değişikliğinin yalnızca panel.dreamhost.com üzerinden, adresi elle yazarak yapılması gerektiğini hatırlatıyor.

Türkiye açısından

DreamHost ağırlıklı olarak ABD pazarına hitap ediyor; yine de Türkiye’deki ajanslar, serbest çalışanlar ve KOBİ’ler yabancı barındırıcı kullanabiliyor. FTP/SFTP ve tarayıcı tabanlı dosya yöneticisi riski coğrafyadan bağımsız: Aynı parola panellerde, e-postada ve başka sitelerde yeniden kullanılıyorsa ihlal zinciri uzar.

Kendi müşterilerinin kişisel verisini DreamHost üzerinde tutan bir işletme için tablo farklı. DreamHost, bu durumda ek yasal yükümlülükler için hukuki danışmana başvurmayı öneriyor. Türkiye’de veri sorumlusu veya veri işleyen konumundaysanız, 6698 sayılı Kanun’daki bildirim eşiklerini ve sözleşmesel bildirim maddelerini değerlendirmek gerekir. Ekim ayındaki ihlal duyurularını KVKK Ekim 2026 dosyamızda toplamıştık; barındırma katmanındaki kimlik bilgisi sızıntıları, “site dosyası + müşteri verisi” birleşince aynı dosyadaki risk başlıklarından biri.

Aynı hafta OPSSHIELD/cPGuard tedarik zinciri saldırısı da barındırma ekosistemini sarsmıştı. İki olay farklı: biri güncelleme kanalı, diğeri File Manager yazılım açığı. Ortak ders ise hosting araçlarının (ajan, dosya yöneticisi, FTP) kök veya geniş yetki taşıdığı ve üçüncü taraf bileşenlerin envanterinin tutulması gerektiği.

Ne yapmalısınız?

  • Parolaları panelden yenileyin: DreamHost hesabının asıl sahibi kontrol panelinden etkilenen e-posta ve FTP/SFTP kullanıcılarının parolasını sıfırlasın. Eski parolayı kaydeden e-posta ve FTP istemcilerini güncelleyin.
  • Aynı parolayı başka yerde kullanıyorsanız değiştirin: File Manager parolası başka panellerde, Git’te veya e-postada tekrarlanıyorsa orayı da yenileyin.
  • Site dosyalarını tarayın: Tanımadığınız PHP/JS dosyaları, yeni .htaccess kuralları, şüpheli cron veya yönlendirmeler var mı bakın.
  • Webmail ayarlarını kontrol edin: İletme kuralları, filtreler ve otomatik yanıtlayıcılar sizin kurduğunuz gibi mi?
  • Güçlü ve benzersiz parola + mümkünse anahtar: Her kullanıcı için ayrı parola; SFTP’de parola yerine anahtar tabanlı giriş tercih edin.
  • Oltalamaya karşı: DreamHost sizden parola istemez. Gelen “acil sıfırlama” linklerine tıklamayın; paneli adres çubuğuna yazarak açın.
  • Kendi müşteri veriniz varsa: Yasal danışmanınızla bildirim yükümlülüğünü konuşun; DreamHost destek kanalından olayla ilgili belge isteyin.
  • İzleme: ABD’de Equifax teklifi varsa kullanmayı değerlendirin; Türkiye’deki kullanıcılar için asıl öncelik site ve posta bütünlüğü.