Копии Rank Math PRO, платной версии плагина Rank Math SEO для WordPress, загруженные с rankmath.com или полученные в виде обновлений с 20:02 UTC 15 октября по 07:12 UTC 16 октября, содержали вредоносное ПО, сообщила компания Rank Math в уведомлении о безопасности, опубликованном 16 октября. Любой сайт, на котором была установлена и активирована одна из этих копий, следует считать скомпрометированным, а вредоносное ПО может восстановить скрытый бэкдор при каждом посещении сайта.
Rank Math удалила зараженные файлы и выпустила чистую версию 3.0.124. Ее установка заменяет плагин, но не удаляет файлы, учетные записи администраторов или запланированные задачи, которые вредоносное ПО могло разместить в других местах на сервере, сообщила Wordfence в консультации 17 октября. Номер версии не указывает, затронута ли копия. В журнале изменений Rank Math версия 3.0.123 датируется 7 октября, более чем за неделю до начала инцидента, а уведомление ограничивает инцидент копиями, загруженными или установленными через обновление в указанный период. Копия 3.0.123, полученная до 20:02 UTC 15 октября, находится вне этого периода.
Уведомление разделяет сайты на три случая: Rank Math связалась с некоторыми пользователями по электронной почте относительно инцидента и рекомендовала всем, кто не уверен, были ли файлы установлены или активированы, обратиться в службу поддержки. Уведомление относится только к плагину PRO, который клиенты загружают и обновляют с rankmath.com, а не с WordPress.org. Бесплатный плагин Rank Math SEO на WordPress.org, насчитывающий более 4 миллионов активных установок и последний раз обновлявшийся 6 октября, в нем не упоминается.
Информация о вредоносном ПО взята из уведомления Rank Math. Ни оно, ни консультация Wordfence не содержат анализа кода, и ни в одном из них не указаны лица, стоящие за ним. Удаление подозрительных файлов до остановки процесса, восстанавливающего бэкдор, может не решить проблему, поэтому порядок очистки имеет значение. Злоумышленник мог также оставить PHP-файлы бэкдора в папках других плагинов, в папках тем и в каталоге плагинов must-use, создать учетные записи администраторов, добавить поддельный файл ядра WordPress, изменить .htaccess так, чтобы файлы .cache выполнялись как PHP, и добавить запланированные задачи и SSH-ключи. Любые пароли, учетные данные базы данных, ключи API или другие секреты, к которым сайт мог получить доступ, могли быть скомпрометированы, и владельцы должны исходить из этого.
Wordfence присвоила инциденту идентификатор CVE-2026-111862 и оценила его в 9,8 из 10, указав неизвестного исследователя. Patchstack классифицирует его как бэкдор и заявляет, что, поскольку атака была направлена на собственные системы Rank Math, “правило для смягчения последствий невозможно”.
Предпочтительным способом восстановления от Rank Math является восстановление из резервной копии. Если существует резервная копия сайта и его базы данных от периода до 20:02 UTC 15 октября, восстановите ее, запустите проверку безопасности, измените все пароли и учетные данные, и только после этого установите 3.0.124 из вашей учетной записи Rank Math. Если чистой резервной копии нет, ручная очистка выполняется в фиксированном порядке, и три действия выполняются до того, как будет затронуто что-либо еще:
1. Удалите все файлы, связанные с бэкдором.
2. Удалите все новые учетные записи администраторов.
3. Восстановите файл .htaccess.
Только после этого начинается поиск других изменений в следующих местах:
* Папки плагинов
* Папки тем
* Каталог плагинов must-use
* Корневые файлы WordPress
* Файлы конфигурации WordPress
* Файлы .htaccess
* Файлы журналов
* Файлы конфигурации сервера
* Файлы конфигурации PHP
* Файлы конфигурации базы данных
* Файлы конфигурации кэша
* Файлы конфигурации CDN
* Файлы конфигурации API
* Файлы конфигурации электронной почты
* Файлы конфигурации платежных шлюзов
* Файлы конфигурации SMTP
* Файлы конфигурации двухфакторной аутентификации
* Файлы конфигурации SSH
* Файлы конфигурации FTP
* Файлы конфигурации SFTP
* Файлы конфигурации хостинга
* Файлы конфигурации переменных среды
* Файлы конфигурации брандмауэра
* Файлы конфигурации антивируса
* Файлы конфигурации резервного копирования
* Файлы конфигурации восстановления
* Файлы конфигурации мониторинга
* Файлы конфигурации аналитики
* Файлы конфигурации SEO
* Файлы конфигурации маркетинга
* Файлы конфигурации рекламы
* Файлы конфигурации социальных сетей
* Файлы конфигурации электронной коммерции
* Файлы конфигурации членства
* Файлы конфигурации форума
* Файлы конфигурации блога
* Файлы конфигурации портфолио
* Файлы конфигурации галереи
* Файлы конфигурации слайдера
* Файлы конфигурации формы
* Файлы конфигурации календаря
* Файлы конфигурации события
* Файлы конфигурации мероприятия
* Файлы конфигурации бронирования
* Файлы конфигурации доставки
* Файлы конфигурации налогов
* Файлы конфигурации валюты
* Файлы конфигурации языка
* Файлы конфигурации темы
* Файлы конфигурации шрифта
* Файлы конфигурации изображения
* Файлы конфигурации видео
* Файлы конфигурации аудио
* Файлы конфигурации документа
* Файлы конфигурации архива
* Файлы конфигурации резервной копии
* Файлы конфигурации восстановления
* Файлы конфигурации мониторинга
* Файлы конфигурации аналитики
* Файлы конфигурации SEO
* Файлы конфигурации маркетинга
* Файлы конфигурации рекламы
* Файлы конфигурации социальных сетей
* Файлы конфигурации электронной коммерции
* Файлы конфигурации членства
* Файлы конфигурации форума
* Файлы конфигурации блога
* Файлы конфигурации портфолио
* Файлы конфигурации галереи
* Файлы конфигурации слайдера
* Файлы конфигурации формы
* Файлы конфигурации календаря
* Файлы конфигурации события
* Файлы конфигурации мероприятия
* Файлы конфигурации бронирования
* Файлы конфигурации доставки
* Файлы конфигурации налогов
* Файлы конфигурации валюты
* Файлы конфигурации языка
* Файлы конфигурации темы
* Файлы конфигурации шрифта
* Файлы конфигурации изображения
* Файлы конфигурации видео
* Файлы конфигурации аудио
* Файлы конфигурации документа
* Файлы конфигурации архива
Wordfence добавляет предостережение: “Их отсутствие само по себе не доказывает, что веб-сайт чист”. Учетные данные изменяются во всех случаях, даже после восстановления из резервной копии. Список охватывает пароли WordPress, имя пользователя и пароль базы данных в wp-config.php, ключи безопасности и соли в том же файле, ключи платежного шлюза, SMTP и другие ключи API, панель управления хостингом, FTP, SFTP и SSH-доступ, секреты, хранящиеся в переменных среды, и двухфакторную аутентификацию для администраторов. Очистка завершается проверкой безопасности, wp core verify-checksums для ядра WordPress и wp plugin verify-checksums –all, с предостережением, что контрольные суммы могут отсутствовать для премиум-плагинов. WordPress.org не публикует их для этого плагина. The Hacker News проверила свою службу plugin-checksums 19 октября и не обнаружила файла для плагина PRO ни под одним из его имен, в то время как служба публикует один для бесплатного плагина. Резервное уведомление предоставляет чистую копию из официального источника.
Чистая версия 3.0.124 устанавливается последней, загруженная путем прямого входа на rankmath.com. Некоторые клиенты могут не иметь возможности войти в систему и могут нуждаться в сбросе пароля своей учетной записи, говорится в уведомлении, не указывая причину, и Rank Math никогда не будет отправлять ссылки для входа или загрузки по электронной почте.
Rank Math, входящая в шведскую хостинговую группу group.one, не сообщила, как вредоносные файлы попали в ее систему загрузки и обновлений, сколько клиентов получили их, доставлялись ли они автоматическими обновлениями, или каковы хеши чистых и зараженных пакетов. Единственное заявление о будущем заключается в том, что команда предпринимает шаги для снижения риска подобных инцидентов. Записи реестра показывают, что домен rank1cdn[.]com, который Rank Math рекомендует владельцам заблокировать, был зарегистрирован в 19:31 UTC 14 октября, примерно за день до открытия окна.
Это по крайней мере третий случай в этом году, когда канал обновлений премиум-плагина WordPress, управляемый поставщиком, доставил сборки с бэкдором. В апреле система обновлений Nextend в течение примерно шести часов распространяла зараженный Smart Slider 3 Pro. В июне в плагинах Pro от ShapedPlugin были обнаружены бэкдоры в его канале обновлений, и один пакет, который был доставлен чистым, позже был “изменен под тем же номером версии”, что и ловушка, с которой теперь сталкиваются клиенты Rank Math. Злоумышленники также изменяли скрипты, обслуживаемые с CDN Awesome Motive, в июне и отравляли ленту API BdThemes в августе. Ничто из опубликованного не связывает злоумышленников, стоящих за любым из этих инцидентов, с этим.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
