SEO-плагин Rank Math PRO раздавал бэкдор прямо из официального канала обновлений

Разработчики Rank Math сообщили 16 октября, что платная версия их SEO-плагина для WordPress на некоторое время стала каналом доставки вредоносного кода. Все копии Rank Math PRO, загруженные с сайта rankmath.com или пришедшие в виде обновления с 20:02 UTC 15 октября по 07:12 UTC 16 октября, были заражены. Любой сайт, где такую сборку установили и активировали, предлагается считать скомпрометированным, а бэкдор, по словам компании, способен восстанавливать себя при каждом визите посетителя.

Номер версии не выдаёт заражённую копию: инцидент привязан не к версии 3.0.123, а к окну времени. Сборка 3.0.123, полученная до 20:02 UTC 15 октября, под удар не попадает, а обновление до чистой 3.0.124 само по себе проблему не снимает — оно заменяет файлы плагина, но не трогает возможные посторонние файлы, учётные записи администраторов и запланированные задачи, которые зловред мог оставить в других местах, предупредил Wordfence.

Что делает зловред

Анализа самого кода ни Rank Math, ни Wordfence не публиковали, авторство неизвестно. Известно лишь, что атакующий мог рассовать PHP-бэкдоры по папкам других плагинов, тем и каталогу mu-plugins, создать администраторов, подложить фальшивый "файл ядра" WordPress, переписать .htaccess так, чтобы .cache-файлы исполнялись как PHP, добавить задачи в cron и SSH-ключи. Любые пароли, учётные данные баз и API-ключи, до которых дотягивался сайт, следует считать утёкшими.

Wordfence присвоил инциденту идентификатор CVE-2026-111862 с оценкой 9,8 из 10. Patchstack классифицирует случай как бэкдор и отмечает, что, поскольку атака велась на собственные системы Rank Math, защитное правило попросту невозможно.

Как восстанавливаться

Предпочтительный путь — откат к резервной копии сайта и базы, сделанной до 20:02 UTC 15 октября, с последующей сменой всех паролей. Если чистой копии нет, ручная чистка идёт в строгом порядке: сначала удаляют всю папку rank-math-pro (простой деактивации недостаточно), затем вычищают определённые записи в таблице wp_options и блокируют исходящие соединения к домену rank1cdn[.]com. Лишь потом начинается поиск прочих следов — подозрительных PHP-файлов, учёток вида wpsupport_, правил в .htaccess, записей в crontab и чужих SSH-ключей. Смена всех паролей и ключей обязательна в любом случае, даже после отката.

Бесплатный плагин Rank Math SEO с WordPress.org (свыше 4 млн установок) в уведомлении не упомянут. Домен rank1cdn[.]com, который владельцам советуют блокировать, был зарегистрирован 14 октября — примерно за сутки до начала окна.

Повторяющийся сюжет

Компания не раскрыла, как вредоносные файлы попали в её систему обновлений и сколько клиентов их получили. Это как минимум третий случай за год, когда фирменный канал обновлений платного плагина WordPress раздаёт заражённые сборки: ранее так пострадали Smart Slider 3 Pro и плагины ShapedPlugin — причём в последнем случае уже выпущенный чистый пакет позже подменили под тем же номером версии. Именно в эту ловушку и попали клиенты Rank Math.

Источник: The Hacker News