Копия на Rank Math PRO, платената версия на SEO плъгина Rank Math за WordPress, които са били изтеглени от rankmath.com или доставени като обновявания между 20:02 UTC на 15 октомври и 07:12 UTC на 16 октомври, са съдържали зловреден софтуер, съобщиха от Rank Math в съобщение за сигурността, публикувано на 16 октомври.

Всеки сайт, който е инсталирал и активирал някое от тези копия, трябва да се третира като компрометиран, а зловредният софтуер може да възстановява скрития си backdoor всеки път, когато някой посети сайта.

Rank Math е премахнал засегнатите файлове и е пуснал чиста версия – 3.0.124. Според съвет на Wordfence от 17 октомври инсталирането ѝ заменя плъгина, но не премахва файловете, администраторските акаунти или планираните задачи, които зловредният софтуер може вече да е поставил другаде на сървъра.

Кой е засегнат

Номерът на версията не показва дали едно копие е засегнато. Changelog-ът на Rank Math датира 3.0.123 към 7 октомври, повече от седмица преди началото на прозореца, а съобщението ограничава инцидента до копия, изтеглени или инсталирани чрез обновяване в рамките на този прозорец.

Копие на 3.0.123, получено преди 20:02 UTC на 15 октомври, е извън него.

Съобщението разделя сайтовете на три случая:

  • Инсталирали сте и активирали 3.0.123 през прозореца: третирайте сайта като компрометиран, дори ако междувременно е обновен до 3.0.124, и следвайте стъпките за възстановяване по-долу.
  • Инсталирали сте го, но никога не сте го активирали: изтрийте файловете на плъгина, инсталирайте 3.0.124 от акаунта си в Rank Math и стартирайте проверка за сигурност.
  • Изтеглили сте го, но никога не сте го инсталирали или активирали: само от този инцидент няма данни, че сайтът е бил компрометиран.

Rank Math е изпратил имейли на част от потребителите във връзка с инцидента и е посъветвал всеки, който не е сигурен дали файловете са били инсталирани или активирани, да се свърже с екипа за поддръжка.

Съобщението се отнася само за PRO плъгина, който клиентите изтеглят и обновяват от rankmath.com, а не от WordPress.org. Безплатният плъгин Rank Math SEO в WordPress.org, който отчита над 4 милиона активни инсталации и е обновен за последно на 6 октомври, не е споменат в него.

Какво прави зловредният софтуер

Известното за зловредния софтуер идва от съобщението на Rank Math. Нито то, нито съветът на Wordfence съдържат анализ на кода и нито един от тях не посочва кой стои зад него.

Изтриването на подозрителни файлове, преди да бъде спряно онова, което възстановява backdoor-а, може да не реши проблема, затова редът на почистване по-долу е важен. Атакуващият може също да е оставил PHP backdoor файлове в папките на други плъгини, в папките на теми и в директорията за must-use плъгини, да е създал администраторски акаунти, да е добавил фалшив основен файл на WordPress, да е променил .htaccess така, че .cache файловете да се изпълняват като PHP, и да е добавил планирани задачи и SSH ключове.

Всяка парола, данни за достъп до база данни, API ключ или друга тайна, до която сайтът е имал достъп, може да е била разкрита и собствениците трябва да приемат, че е така.

Wordfence е присвоил на инцидента CVE-2026-111862 и го оценява с 9,8 от 10, като изследователят е посочен като неизвестен.

Patchstack го класифицира като backdoor и казва, че тъй като атаката е била срещу собствените системи на Rank Math, „правило за смекчаване не е възможно“.

Как да възстановите сайта

Предпочитаният от Rank Math начин за възстановяване е възстановяване от резервно копие. Ако съществува резервно копие на сайта и базата данни отпреди 20:02 UTC на 15 октомври, възстановете го, стартирайте проверка за сигурност, сменете всички пароли и идентификационни данни и едва след това инсталирайте 3.0.124 от акаунта си в Rank Math.

Когато няма чисто резервно копие, ръчното почистване се извършва в строг ред, а три действия предхождат всичко останало:

  1. Изтрийте цялата папка на плъгина rank-math-pro чрез файловия мениджър на хостинга или FTP. „Само деактивирането на плъгина не е достатъчно“, се казва в съобщението.
  2. В таблицата wp_options изтрийте всеки запис, чийто option_name е _uf6qdn2hmm, t8krdk990phb или _np5pvf754c.
  3. Блокирайте изходящите връзки към rank1cdn[.]com, ако хостинг доставчикът или защитната стена го позволяват.

Едва тогава започва търсенето на други промени на следните места:

  • Файлове: PHP файлове в wp-content/mu-plugins/, в папките на други плъгини, в папките inc/, includes/ и lib/ на теми, които не са по подразбиране, в собствената папка includes/ на Rank Math и в uploads/.
  • Код: PHP, който използва base64_decode с XOR цикли, ключа xmmqhn, proc_open или код за PHP-FPM сокети.
  • Файл: wp-includes/class-wp-cache-util.php, който не е основен файл на WordPress.
  • Акаунти: потребителски имена на администратори, започващи с wpsupport_, или акаунти с имейл адреси, завършващи на @wp-mail[.]net.
  • Сървър: правила в .htaccess, които позволяват на .cache файлове да се изпълняват като PHP, .cache файлове, съдържащи PHP код, записи с етикет #ms6v46 в crontab на потребителя на уеб сървъра, планирани събития на WordPress, файлове authorized_keys за SSH, crontab-ове на други потребители, работещи процеси и всяко място извън сайта, където уеб сървърът може да записва.

Wordfence добавя предупреждение: „Тяхното отсъствие само по себе си не доказва, че уебсайтът е чист.“

Идентификационните данни се сменят във всички случаи, дори след възстановяване от резервно копие. Списъкът включва паролите на WordPress, потребителското име и паролата за базата данни в wp-config.php, ключовете за сигурност и salts в същия файл, платежния шлюз, SMTP и други API ключове, контролния панел на хостинга, достъпа по FTP, SFTP и SSH, тайните в променливи на средата и двуфакторното удостоверяване за администраторите.

Почистването завършва с проверка за сигурност, wp core verify-checksums за ядрото на WordPress и wp plugin verify-checksums --all, с уговорката, че контролни суми може да не съществуват за платените плъгини.

WordPress.org не публикува такива за този плъгин. The Hacker News провери услугата за контролни суми на плъгини на 19 октомври и не намери файл за PRO плъгина под нито едно от двете му имена, докато за безплатния плъгин услугата публикува такъв. Резервният вариант в съобщението е чисто копие от официалния източник.

Чистата 3.0.124 се инсталира накрая, изтеглена чрез директно влизане в rankmath.com. Някои клиенти може да не успеят да влязат и да се наложи да нулират паролата на акаунта си, се казва в съобщението, без да се обяснява защо, а Rank Math никога няма да изпраща връзки за вход или изтегляне по имейл.

Какво Rank Math не е казал

Rank Math, част от шведската хостинг група group.one, не е казал как зловредните файлове са попаднали в системата му за изтегляне и обновяване, колко клиенти са получили такъв, дали автоматичните обновявания са ги доставили, нито какви са хешовете на чистите и на заразените пакети. Единственото му изявление за бъдещето е, че екипът предприема стъпки за намаляване на риска от подобни инциденти.

Регистърните записи показват, че домейнът, който Rank Math съветва собствениците да блокират, rank1cdn[.]com, е регистриран в 19:31 UTC на 14 октомври, около денонощие преди началото на прозореца.

Тенденция през годината

Това е поне третият случай тази година, в който управляван от доставчика канал за обновяване на платен плъгин за WordPress доставя компрометирани версии. През април системата за обновяване на Nextend разпространява компрометиран Smart Slider 3 Pro в продължение на около шест часа.

През юни е установено, че Pro плъгините на ShapedPlugin са били компрометирани в канала за обновяване, а един пакет, който първоначално е бил чист, по-късно е бил „подменен под същия номер на версията“ – капанът, пред който са изправени и клиентите на Rank Math.

Атакуващи също така промениха скриптове, доставяни от CDN на Awesome Motive през юни, и отровиха API канала на BdThemes през август. Нищо публикувано не свързва атакуващите зад тези инциденти с този.