Rank Math PRO распространил бэкдор через канал обновлений
Платная версия SEO-плагина Rank Math PRO для WordPress распространяла вредоносные сборки, загруженные с rankmath.com или установленные через обновление в период с 20:02 UTC 15 октября до 07:12 UTC 16 октября. Wordfence присвоил инциденту идентификатор CVE-2026-111862 и оценку 9,8 из 10; чистая версия плагина выпущена под номером 3.0.124.
Какие сайты затронуты
Rank Math рекомендует считать скомпрометированным любой сайт, где в указанный промежуток была установлена и активирована версия 3.0.123. Сам номер версии не позволяет отличить вредоносную копию: выпуск 3.0.123 датирован 7 октября, а опасным признан только канал получения пакета в ограниченное временное окно.
Если пакет был установлен, но не активирован, Rank Math советует удалить файлы плагина, загрузить 3.0.124 из учётной записи и выполнить проверку безопасности. Если файл лишь скачали, но не устанавливали и не активировали, сам по себе этот факт не указывает на компрометацию сайта.
Инцидент касается только Rank Math PRO, который клиенты получают с rankmath.com. Бесплатный Rank Math SEO из каталога WordPress.org в уведомлении не назван.
Что мог сделать бэкдор
По информации Rank Math, вредоносный код способен восстанавливать скрытый бэкдор при посещении сайта. Злоумышленники могли оставить PHP-файлы в каталогах других плагинов, тем и must-use plugins, создать учётные записи администраторов, изменить правила .htaccess и добавить задачи планировщика или SSH-ключи.
Также потенциально скомпрометированы секреты, к которым имел доступ сайт: пароли WordPress и базы данных, ключи API, реквизиты платёжных шлюзов, SMTP-данные, доступы к панели хостинга, FTP, SFTP и SSH. Wordfence подчёркивает, что отсутствие известных индикаторов не доказывает чистоту ресурса.
Порядок восстановления
Предпочтительный сценарий Rank Math — восстановить сайт и базу данных из резервной копии, созданной до 20:02 UTC 15 октября. После восстановления следует провести сканирование, сменить пароли и учётные данные, а затем установить 3.0.124, полученную только после прямого входа в аккаунт на rankmath.com.
Если чистой резервной копии нет, сначала необходимо полностью удалить каталог rank-math-pro, а не просто деактивировать плагин. Затем нужно удалить из таблицы wp_options записи с именами _uf6qdn2hmm, t8krdk990phb и _np5pvf754c, а при возможности заблокировать исходящие соединения с доменом rank1cdn[.]com.
После этого владельцам предлагают искать посторонние PHP-файлы, подозрительные учётные записи, задания cron, изменения .htaccess и файл wp-includes/class-wp-cache-util.php, не входящий в состав ядра WordPress. Завершить очистку следует сканированием и проверкой контрольных сумм ядра и плагинов, учитывая, что для коммерческого Rank Math PRO публичных сумм нет.
Для бизнеса этот случай показывает, что обновление скомпрометированного расширения не заменяет реагирование на инцидент. Нужны проверяемые резервные копии, инвентаризация секретов и доступов, а также процедура полной проверки сайта после проблем в канале поставки.