Incydent bezpieczeństwa Rank Math PRO – złośliwy kod w wersji 3.0.123

Rank Math to wtyczka do WordPressa będąca wielofunkcyjnym narzędziem SEO (służy do optymalizacji stron, aby lepiej wyświetlały się w wynikach wyszukiwania). Jej twórcy zidentyfikowali w kodzie wtyczki malware, które mogło dotrzeć do ograniczonej liczby użytkowników. W zagrożonej grupie są ci, którzy pobrali wariant PRO wtyczki Rank Math w wersji 3.0.123 między 15 października 2026 r. o 22:02 a 16 października 2026 r. o 09:12.

TLDR:

• Wtyczka Rank Math PRO w wersji 3.0.123, pobrana między 15 października 2026 r. o 22:02 a 16 października o 09:12, zawierała złośliwy kod. Twórcy po wykryciu malware usunęli je i udostępnili czystą wersję 3.0.124.
• Użytkownicy, którzy zainstalowali i aktywowali zainfekowaną wersję, powinni przywrócić witrynę i bazę danych z kopii zapasowej sprzed incydentu lub ręcznie usunąć malware i sprawdzić elementy środowiska.
• Niezależnie od metody odzyskiwania należy zmienić hasła i dane uwierzytelniające, a następnie przeskanować witrynę i monitorować jej aktywność.
• Incydent nie dotyczył samej bezpłatnej wtyczki Rank Math SEO, tylko użytkowników planu płatnego (PRO).

Po wykryciu incydentu twórcy usunęli złośliwe pliki i udostępnili “czystą” wersję – Rank Math PRO v3.0.124. Problem nie dotyczy użytkowników bezpłatnej wersji Rank Math SEO, ponieważ jest to osobna wtyczka (nie została dotknięta atakiem). Twórcy wtyczki w ramach działań zapobiegawczych usunęli jednak konta niektórych użytkowników także bezpłatnej wersji. Osoby, których to dotyczy, otrzymały maila z instrukcjami, jak odzyskać konto.

W opublikowanym komunikacie wskazano, jak sprawdzić, czy problem dotyczy naszej strony. W panelu administracyjnym WordPress (sekcja Wtyczki) należy sprawdzić zainstalowaną wersję Rank Math PRO.

Jeśli jest to:

• wersja 3.0.123 zainstalowana i aktywowana między 15 października 2026 r. o 22:02 a 16 października 2026 r. o 09:12 – należy potraktować witrynę jako przejętą przez atakującego;
• wersja 3.0.123 zainstalowana, ale nie aktywowana – należy usunąć pliki wtyczki i zainstalować czystą wersję 3.0.124 ze swojego konta Rank Math (twórcy zalecają też przeprowadzenie skanowania bezpieczeństwa np. wtyczką Wordfence lub Sucuri);
• wersja 3.0.123 pobrana, ale nie zainstalowana ani aktywowana – brak wskazań na przejęcie witryny.

Użytkownikom, którzy nie mają pewności, czy problematyczne pliki zostały zainstalowane lub aktywowane, zaleca się kontakt z zespołem pomocy technicznej Rank Math.

Strony, na których aktywowano złośliwą wersję, powinny zostać przywrócone z kopii zapasowych utworzonych przed rozpoczęciem incydentu.

Jeśli przywrócenie czystej kopii zapasowej nie jest możliwe, należy ręcznie usunąć malware i sprawdzić witrynę pod kątem innych zmian wprowadzonych przez atakującego.

Złośliwy kod może być wykonywany przy każdym odwiedzeniu witryny, więc malware ma możliwość ponownego tworzenia ukrytego backdoora. Ważne jest więc działanie w odpowiedniej kolejności, choć i opisana przez twórców wtyczki ścieżka nie gwarantuje pozbycia się malware w pełni. Nie wiemy dokładnie, czy i w jaki sposób złośliwy kod wdraża mechanizmy persystencji, a jego działanie zależy też od konfiguracji hostingu, na którym działa witryna. Nie są to więc uniwersalne kroki, a odzyskanie witryny z backupu – wykonanego przed instalacją złośliwej wersji – jest w naszej ocenie dużo lepszą opcją.

Najpierw należy zatrzymać działanie malware. W tym celu konieczne są następujące kroki:

1. Usunięcie całego folderu wtyczki Rank Math PRO. Korzystając z menedżera plików, dostępu SSH lub FTP należy znaleźć i usunąć folder rank-math-pro.
2. Usunięcie złośliwych wpisów w bazie danych. Korzystając np. z phpMyAdmin, należy w tabeli wp_options znaleźć i usunąć rekord, którego option_name ma jedną z poniższych wartości:

•   _uf6qdn2hmm
•   t8krdk990phb
•   _np5pvf754c

3. Zablokowanie złośliwej domeny. Jeśli dostawca hostingu lub wykorzystywany firewall ma taką funkcję, należy zablokować połączenia wychodzące do domeny rank1cdn[.]com.

Dopiero po wykonaniu tych czynności można przejść do kolejnego kroku. Atakujący mógł pozostawić złośliwe pliki, konta lub zmiany na poziomie serwera. Ten etap ma na celu sprawdzenie i zidentyfikowanie takich działań.

1. Należy sprawdzić poniższe lokalizacje pod kątem podejrzanych plików PHP:

• wp-content/mu-plugins/
• foldery należące do innych wtyczek
• foldery inc/, includes/ i lib/ motywów innych niż domyślne
• folder includes/ wtyczki Rank Math
• folder wp-content/uploads/

Można także sprawdzić, czy na serwerze istnieje plik wp-includes/class-wp-cache-util.php – nie jest to prawidłowy plik WordPress. Jeśli istnieje, należy go usunąć i zainstalować ponownie WordPress z oficjalnego źródła, aby upewnić się, że żadne inne pliki nie zostały zmodyfikowane.

2. Warto również sprawdzić, czy nie pojawiły się nowe konta administratorów i usunąć wszystkich nieautoryzowanych użytkowników.

3. Weryfikacji wymaga także plik .htaccess, zwłaszcza pod kątem reguł umożliwiających wykonywanie plików .cache jako kodu PHP. Dobrym krokiem będzie też przeszukanie serwera pod kątem plików .cache zawierających kod PHP i ich sprawdzenie.

4. Atakujący mógł wprowadzić zmiany poza samą witryną WordPress. Warto sprawdzić też:

• wpisy w crontab (a przy okazji także zaplanowane zdarzenia WordPress – np. poleceniem wp cron event list),
• pliki authorized_keys z kluczami SSH,
• uruchomione procesy,
• inne wtyczki i motywy,
• inne lokalizacje, do których uruchomiony serwer webowy (a dokładniej użytkownik, pod którym działa) ma prawa zapisu.

Niezależnie od sposobu przywracania witryny, należy zmienić wszystkie hasła i dane uwierzytelniające. Mowa o:

• hasłach do kont WordPress,
• poświadczeniach do bazy danych,
• kluczach API, hasłach SMTP, wszelkich poświadczeniach do usług zewnętrznych,
• wartościach soli (salt),
• poświadczeniach do hostingu/serwera – jeśli były zapisane w witrynie,
• konfiguracji uwierzytelniania dwuskładnikowego – warto ją zresetować.

Po zakończeniu czyszczenia można zweryfikować część działań. Twórcy Rank Math PRO zalecają:

• przeprowadzenie skanowania bezpieczeństwa (za pomocą np. Wordfence lub Sucuri)
• sprawdzenie plików WordPress za pomocą polecenia wp core verify-checksums
• sprawdzenie plików zainstalowanych wtyczek za pomocą polecenia wp plugin verify-checksums –all
• monitorowanie wychodzących połączeń w ciągu kolejnych dni.

Gdy witryna jest już “czysta”, można zainstalować nową, oczyszczoną z malware wersję Rank Math PRO (v3.0.124). W opublikowanym komunikacie twórcy wtyczki nie wskazali, w jaki sposób atakujący zdołał wstrzyknąć złośliwy kod do wydanej wersji.

Niestety regularnie obserwujemy, jak niebezpieczne mogą być ataki na łańcuch dostaw. W tym przypadku – choć okno czasowe, w którym dystrybuowano złośliwy kod, było krótkie – zwykła wtyczka stała się zagrożeniem dla nieświadomych tego faktu użytkowników. Jest to jeden z przypadków, w którym dostrzegamy wadę automatycznych aktualizacji. Nie oznacza to, że nie warto ich robić, ale polecamy przemyśleć swój model ryzyka (np. rozważyć zachowanie krótkiego odstępu od wydania nowej wersji do jej instalacji). 

Źródło: rankmath.com

~Tymoteusz Jóźwiak