Rank Math PRO 3.0.123 compromesso: backdoor nei siti WordPress

Rank Math PRO, la versione a pagamento di uno dei plugin SEO più diffusi per WordPress, è stato compromesso in un attacco alla catena di fornitura. Secondo l’avviso del produttore, riportato da SecurityWeek e BleepingComputer, alcuni pacchetti della versione 3.0.123 scaricati dal sito ufficiale tra il 15 ottobre 2026 alle 20:02 UTC e il 16 ottobre alle 07:12 UTC contenevano malware in grado di prendere il controllo del sito all’attivazione del plugin.

Rank Math ha tolto i file manomessi e pubblicato la versione pulita 3.0.124. La versione gratuita, Rank Math SEO distribuita da WordPress.org e attiva secondo BleepingComputer su oltre 4 milioni di siti, non è coinvolta. Il produttore parla di un numero limitato di utenti; quanti siti siano stati colpiti e come gli attaccanti abbiano manomesso i pacchetti non è stato reso noto: BleepingComputer ha chiesto entrambe le informazioni a Rank Math senza ricevere risposta.

Come funziona il malware

Secondo l’avviso di Rank Math, il codice malevolo nel plugin stabilisce un accesso persistente, comunica con il dominio rank1cdn[.]com e ricrea una backdoor nascosta a ogni visita del sito. Per questo disattivare o aggiornare il plugin dopo la compromissione non basta: la pulizia manuale è difficile.

SecurityWeek elenca le azioni che il malware può compiere:

• installare falsi file del core di WordPress;
• modificare i file .htaccess per far eseguire come PHP i file con estensione .cache, e depositare file .cache con codice PHP;
• creare attività pianificate di WordPress e cron job di sistema;
• modificare altri plugin e temi e caricare altri file;
• intervenire fuori dall’installazione di WordPress, ovunque l’utente del server web abbia permessi di scrittura: file authorized_keys di SSH, crontab di altri utenti, processi in esecuzione.

Il produttore avverte che un sito compromesso espone le credenziali del database, le chiavi API e gli altri segreti leggibili dal server web.

Gli indicatori pubblici

Gli indicatori dell’avviso di Rank Math, riportati da BleepingComputer, sono:

• il dominio rank1cdn[.]com;
• la voce del database di WordPress _np5pvf754c;
• il marcatore #ms6v46 nei cron job;
• la chiave di offuscamento XOR xmmqhn;
• account amministratore con nome che inizia per wpsupport_ e indirizzo email @wp-mail.net;
• la backdoor wp-includes/class-wp-cache-util.php.

BleepingComputer ha inoltre trovato su VirusTotal uno script PHP, cache-preloader-fff033 (1).php, con gli stessi indicatori. Sembra un primo stadio che crea la backdoor in wp-includes e sa eseguire comandi, modificare il database di WordPress e rubare credenziali di AWS, Cloudflare, Google Cloud e Azure, chiavi SSH e altri dati sensibili. La testata precisa di non aver potuto confermare che questo file sia stato distribuito attraverso il plugin compromesso, anche se gli indicatori lo collegano allo stesso attore.

Nella nostra lettura le tecniche MITRE ATT&CK pertinenti sono T1195.002 (Compromise Software Supply Chain), T1505.003 (Web Shell), T1136 (Create Account), T1053.003 (Cron), T1098.004 (SSH Authorized Keys), T1036.005 (Match Legitimate Name or Location) e T1552.001 (Credentials In Files).

Impatto per le aziende europee e italiane

Le fonti non citano vittime né paesi colpiti, ma la distribuzione passava dal sito ufficiale e riguardava chiunque abbia scaricato o aggiornato il plugin in quelle 11 ore, comprese le agenzie web che gestiscono molti siti di clienti. Il rischio non si ferma al sito: con le credenziali del database, le chiavi API e le chiavi cloud gli attaccanti possono passare ad altri sistemi, e sui server condivisi tra più siti la scrittura fuori da WordPress allarga il perimetro.

Per i soggetti NIS2 il caso rientra nella sicurezza della catena di fornitura: anche un plugin acquistato è software di terzi da tenere in inventario. Se il sito tratta dati personali (moduli, account dei clienti, ordini), una compromissione accertata va valutata anche per la notifica prevista dal GDPR.

Cosa fare subito

1. Verifica la versione di Rank Math PRO su tutti i siti WordPress che gestisci e la data dell’ultimo aggiornamento: è a rischio chi ha installato la 3.0.123 nella finestra del 15–16 ottobre.
2. Se il plugin è stato attivato, considera il sito compromesso. La strada indicata da Rank Math è il ripristino di file e database da un backup pulito precedente all’incidente, poi una scansione di sicurezza.
3. Senza un backup sicuro, segui la pulizia manuale del produttore: elimina l’intera cartella del plugin e la voce malevola del database, blocca le connessioni in uscita verso rank1cdn[.]com, cerca e rimuovi file PHP sospetti, file .cache eseguibili, regole anomale in .htaccess, falsi file del core e account amministratore sconosciuti, e controlla attività pianificate, plugin e temi modificati.
4. Controlla anche fuori da WordPress: authorized_keys, crontab degli utenti di sistema, processi sospetti e ogni cartella scrivibile dall’utente del server web.
5. Dopo la bonifica cambia tutte le credenziali: password di WordPress e del database, chiavi API, chiavi e salt di wp-config.php, chiavi cloud e SSH raggiungibili dal server. Poi installa la versione pulita 3.0.124.
6. Se il plugin è stato installato ma mai attivato, eliminalo, scarica la 3.0.124 e fai comunque una scansione del sito.

Come aiuta ARXDOME

Sui server Linux che ospitano i siti, l’agent di ARX Sentry controlla l’integrità dei file nelle cartelle stabilite: può segnalare nuovi file PHP, modifiche a .htaccess o alla cartella wp-includes. L’inventario di processi e porte aiuta a notare processi estranei, e con ARX Shield si isola dalla rete una macchina compromessa in attesa della bonifica.

Ultimo aggiornamento: 19 ottobre 2026