Rank Math PRO kompromitovan kroz kanal za ažuriranje dodatka
Rank Math je potvrdio da su kopije plaćenog WordPress dodatka Rank Math PRO, preuzete sa rankmath.com ili isporučene kroz ažuriranje između 15. oktobra u 20:02 UTC i 16. oktobra u 07:12 UTC, sadržale malver. Wordfence je incident označio kao CVE-2026-111862 i dodelio mu ocenu 9,8 od 10. Čista verzija 3.0.124 je objavljena, ali sama zamena dodatka ne uklanja nužno izmene koje je malver već uneo na server.
Obaveštenje se odnosi isključivo na PRO izdanje koje korisnici dobijaju preko rankmath.com. Besplatni Rank Math SEO dodatak sa WordPress.org nije naveden kao pogođen. Presudan nije samo broj verzije: kopija 3.0.123 preuzeta pre početka navedenog vremenskog prozora nije obuhvaćena, dok se aktivirana kopija dobijena tokom prozora mora smatrati kompromitovanom, čak i ako je naknadno ažurirana.
Backdoor može da ostane van dodatka
Rank Math upozorava da malver može ponovo da napravi skriveni pristup kada neko poseti sajt. Zbog toga prosto brisanje sumnjivih fajlova ne mora biti dovoljno ako se prethodno ne ukloni mehanizam koji ih obnavlja. Objavljeni indikatori ukazuju na moguće PHP fajlove u drugim dodacima, temama, direktorijumu must-use dodataka i otpremama, kao i na izmenjene administratorske naloge, zakazane zadatke i SSH ključeve.
Među konkretnim tragovima su stavke u tabeli wp_options sa nazivima _uf6qdn2hmm, t8krdk990phb i _np5pvf754c, zatim domen rank1cdn.com, neuobičajeni fajl wp-includes/class-wp-cache-util.php i administratorski nalozi čije korisničko ime počinje sa wpsupport_. Treba proveriti i pravila u .htaccess koja dozvoljavaju izvršavanje .cache fajlova kao PHP-a, kao i cron poslove označene nizom #ms6v46.
Redosled oporavka je važan
Najbezbedniji postupak je vraćanje sajta i baze iz rezervne kopije nastale pre 15. oktobra u 20:02 UTC. Nakon vraćanja potrebno je obaviti bezbednosno skeniranje, promeniti sve lozinke i pristupne podatke, a tek zatim preuzeti i instalirati verziju 3.0.124 direktno sa naloga na rankmath.com.
Kada čista rezervna kopija ne postoji, Rank Math nalaže da se najpre potpuno obriše direktorijum rank-math-pro, jer deaktivacija nije dovoljna. Zatim treba ukloniti navedene stavke iz wp_options i, gde infrastruktura to dozvoljava, blokirati odlazne veze ka rank1cdn.com. Tek posle tih koraka sledi potraga za dodatnim izmenama po fajlovima, nalozima, zakazanim poslovima i konfiguraciji servera.
Wordfence naglašava da odsustvo navedenih pokazatelja samo po sebi nije dokaz da je sajt čist. Zbog mogućeg pristupa tajnama, neophodno je promeniti WordPress lozinke, pristup bazi iz wp-config.php, sigurnosne ključeve i soli, API ključeve za plaćanje i SMTP, kao i pristupe hostingu, FTP-u, SFTP-u i SSH-u. Završna provera uključuje bezbednosno skeniranje i komande wp core verify-checksums i wp plugin verify-checksums --all, uz ograničenje da kontrolne sume možda nisu dostupne za premijum dodatke.
Šta incident menja za timove koji održavaju WordPress
Ovaj slučaj pokazuje da se rizik ne zadržava na samom dodatku kada je kompromitovan kanal proizvođača za preuzimanje i ažuriranje. Rank Math nije objavio način na koji su zlonamerni paketi dospeli u njegov sistem, broj pogođenih korisnika ni kontrolne sume čistih i kompromitovanih paketa. Zato poslovni timovi treba da vode evidenciju o vremenu instalacije i aktivacije premijum dodataka, testiraju postupak vraćanja rezervnih kopija i obezbede plan rotacije svih akreditiva kada se posumnja na kompromitaciju lanca snabdevanja.