Плагин Rank Math PRO распространялся с бэкдором более 11 часов

Rank Math сообщила, что часть копий версии 3.0.123 содержала вредоносный код. Если такую копию активировали, компания рекомендует считать сайт скомпрометированным.

Опасный период начался 15 октября 2026 года в 20:02 UTC и закончился 16 октября в 07:12 UTC. Rank Math удалила затронутые файлы и выпустила чистую версию 3.0.124. По оценке компании, вредоносную копию получили некоторые пользователи, но точное число сайтов она не назвала. Бесплатный плагин Rank Math SEO из каталога WordPress.org не пострадал.

Сам номер 3.0.123 ещё не доказывает заражение: важны время получения файлов и то, запускали ли их на сайте. The Hacker News отмечает, что эта версия вышла 7 октября, за несколько дней до опасного периода. Обновление до 3.0.124 заменяет плагин, но не удаляет изменения, которые вредоносный код мог оставить в других частях сайта или на сервере.

Как проверить сайт после заражения Rank Math PRO

Сначала нужно открыть список плагинов в панели WordPress и проверить установленную версию Rank Math PRO. Если копию 3.0.123 получили в указанный период, дальнейшие действия зависят от того, успели ли её установить и активировать. Rank Math разделяет случаи так:

• Скачали, но не установили: признаков компрометации сайта из-за этого инцидента нет.
• Установили, но не активировали: удалите файлы, установите 3.0.124 и проверьте сайт.
• Установили и активировали: считайте сайт скомпрометированным и приступайте к восстановлению.

Для активированного плагина Rank Math рекомендует восстановить файлы сайта и базу данных из резервной копии, сделанной до 15 октября в 20:02 UTC. Затем нужно запустить проверку безопасности, сменить пароли и другие учётные данные и установить чистую версию плагина. Даже после восстановления следует сменить данные доступа: компания советует исходить из того, что секреты, доступные сайту, могли быть раскрыты.

Если подходящей резервной копии нет, порядок ручной очистки важен. Сначала нужно целиком удалить папку rank-math-pro: простого отключения плагина недостаточно. Затем в таблице wp_options удалить записи с именами _uf6qdn2hmm, t8krdk990phb или _np5pvf754c и, если позволяют хостинг или брандмауэр, заблокировать исходящие соединения с rank1cdn.com. Rank Math предупреждает: при посещении сайта вредоносный код может заново создать скрытый бэкдор. После удаления файлов и блокировки соединений следует искать оставленные им файлы.

При проверке компания советует искать подозрительные PHP-файлы в каталогах других плагинов и тем, неизвестные учётные записи администраторов, изменённые задания по расписанию и файл wp-includes/class-wp-cache-util.php, который не относится к WordPress. Также нужно проверить правила .htaccess, файлы .cache с PHP-кодом и изменения за пределами каталога сайта. Среди признаков подозрительных учётных записей Rank Math называет имена, начинающиеся с wpsupport_, и адреса с окончанием @wp-mail.net.

После очистки нужно заменить пароли WordPress и доступа к хостингу, учётные данные базы данных, ключи и соли безопасности WordPress, API-ключи и другие секреты, доступные сайту. Rank Math рекомендует повторно проверить сайт и сверить контрольные суммы файлов WordPress; для платных плагинов такая проверка может быть недоступна. Чистую версию 3.0.124 компания предлагает скачивать после входа в аккаунт напрямую через rankmath.com. Ссылки для входа и загрузки по электронной почте она не рассылает.

Предыдущие случаи с плагинами WordPress

The Hacker News напоминает о других случаях распространения изменённых платных плагинов через каналы их разработчиков в 2026 году. В апреле через систему обновлений Nextend около шести часов доставлялась версия Smart Slider 3 Pro с бэкдором. В июне изменённые сборки обнаружили в канале обновлений платных плагинов ShapedPlugin.

Rank Math сообщила время распространения затронутых файлов, но не раскрыла, как вредоносный код попал в её систему загрузки и обновления. Точное число клиентов, получивших такую копию, также неизвестно. Опубликованные сведения не связывают этот инцидент с прежними атаками на других разработчиков.

Wordfence присвоила инциденту идентификатор CVE-2026-111862 и оценку критичности 9,8 из 10. Отсутствие перечисленных Rank Math признаков не подтверждает, что сайт чист. Если владелец не может установить, была ли затронутая копия активирована, Rank Math предлагает обратиться в службу поддержки.