Rank Math PRO 3.0.123 compromis: backdoor pe site-uri WordPress

Rank Math PRO, ediția plătită a unuia dintre cele mai răspândite pluginuri SEO pentru WordPress, a fost compromis într-un atac asupra lanțului de aprovizionare. Potrivit avizului producătorului, preluat de SecurityWeek și BleepingComputer, unele pachete ale versiunii 3.0.123 descărcate de pe site-ul oficial între 15 octombrie 2026, ora 20:02 UTC, și 16 octombrie, ora 07:12 UTC, conțineau malware capabil să preia controlul site-ului la activarea pluginului.

Rank Math a eliminat fișierele modificate și a publicat versiunea curată 3.0.124. Ediția gratuită, Rank Math SEO distribuită prin WordPress.org și activă, potrivit BleepingComputer, pe peste 4 milioane de site-uri, nu este afectată. Producătorul vorbește de un număr limitat de utilizatori; câte site-uri au fost lovite și cum au modificat atacatorii pachetele nu s-a făcut public: BleepingComputer a cerut ambele informații de la Rank Math fără să primească răspuns.

Cum funcționează malware-ul

Potrivit avizului Rank Math, codul malițios din plugin stabilește un acces persistent, comunică cu domeniul rank1cdn[.]com și recreează un backdoor ascuns la fiecare vizită pe site. De aceea dezactivarea sau actualizarea pluginului după compromitere nu este suficientă: curățarea manuală este dificilă.

SecurityWeek enumeră ce poate face malware-ul:

• instalează fișiere false ale nucleului WordPress;
• modifică fișierele .htaccess astfel încât fișierele cu extensia .cache să fie executate ca PHP și plasează fișiere .cache cu cod PHP;
• creează sarcini programate WordPress și cron job-uri de sistem;
• modifică alte pluginuri și teme și încarcă alte fișiere;
• intervine în afara instalării WordPress, oriunde utilizatorul serverului web are drept de scriere: fișiere SSH authorized_keys, crontab-uri ale altor utilizatori, procese în execuție.

Producătorul avertizează că un site compromis expune credențialele bazei de date, cheile API și alte secrete pe care serverul web le poate citi.

Indicatorii publici

Indicatorii din avizul Rank Math, preluați de BleepingComputer, sunt:

• domeniul rank1cdn[.]com;
• intrarea _np5pvf754c din baza de date WordPress;
• marcajul #ms6v46 din cron job-uri;
• cheia de ofuscare XOR xmmqhn;
• conturi de administrator cu nume care încep cu wpsupport_ și adresă de email @wp-mail.net;
• backdoor-ul wp-includes/class-wp-cache-util.php.

BleepingComputer a mai găsit pe VirusTotal un script PHP, cache-preloader-fff033 (1).php, cu aceiași indicatori. Pare o primă etapă care creează backdoor-ul în wp-includes și poate executa comenzi, modifica baza de date WordPress și fura credențiale AWS, Cloudflare, Google Cloud și Azure, chei SSH și alte date sensibile. Publicația precizează că nu a putut confirma că acest fișier a fost distribuit prin pluginul compromis, deși indicatorii îl leagă de același actor.

În lectura noastră, tehnicile MITRE ATT&CK relevante sunt T1195.002 (Compromise Software Supply Chain), T1505.003 (Web Shell), T1136 (Create Account), T1053.003 (Cron), T1098.004 (SSH Authorized Keys), T1036.005 (Match Legitimate Name or Location) și T1552.001 (Credentials In Files).

Impactul pentru companiile europene și italiene

Sursele nu menționează victime sau țări afectate, dar distribuția a trecut prin site-ul oficial și a privit pe oricine a descărcat sau a actualizat pluginul în acele 11 ore, inclusiv agențiile web care gestionează multe site-uri ale clienților. Riscul nu se oprește la site: cu credențialele bazei de date, cheile API și cheile cloud, atacatorii pot trece la alte sisteme, iar pe serverele partajate de mai multe site-uri scrierea în afara WordPress lărgește perimetrul.

Pentru entitățile NIS2 cazul ține de securitatea lanțului de aprovizionare: și un plugin cumpărat este software terț care trebuie să apară în inventar. Dacă site-ul prelucrează date personale (formulare, conturi de clienți, comenzi), o compromitere confirmată trebuie evaluată și în vederea notificării prevăzute de GDPR.

Ce faci acum

1. Verifică versiunea Rank Math PRO pe toate site-urile WordPress pe care le gestionezi și data ultimei actualizări: este expus cine a instalat 3.0.123 în intervalul 15–16 octombrie.
2. Dacă pluginul a fost activat, consideră site-ul compromis. Calea indicată de Rank Math este restaurarea fișierelor și a bazei de date dintr-un backup curat, anterior incidentului, urmată de o scanare de securitate.
3. Fără un backup sigur, urmează curățarea manuală a producătorului: șterge întregul director al pluginului și intrarea malițioasă din baza de date, blochează conexiunile de ieșire către rank1cdn[.]com, caută și elimină fișierele PHP suspecte, fișierele .cache executabile, regulile anormale din .htaccess, fișierele false ale nucleului și conturile de administrator necunoscute și verifică sarcinile programate, pluginurile și temele modificate.
4. Verifică și în afara WordPress: authorized_keys, crontab-urile utilizatorilor de sistem, procesele suspecte și orice director în care poate scrie utilizatorul serverului web.
5. După curățare, schimbă toate credențialele: parolele WordPress și ale bazei de date, cheile API, cheile și salt-urile din wp-config.php, cheile cloud și SSH accesibile de pe server. Apoi instalează versiunea curată 3.0.124.
6. Dacă pluginul a fost instalat, dar niciodată activat, șterge-l, descarcă 3.0.124 și scanează oricum site-ul.

Cum ajută ARXDOME

Pe serverele Linux care găzduiesc site-urile, agentul ARX Sentry verifică integritatea fișierelor în directoarele stabilite: poate semnala fișiere PHP noi și modificări ale .htaccess sau ale directorului wp-includes. Inventarul proceselor și porturilor ajută la observarea proceselor străine, iar cu ARX Shield o mașină compromisă se izolează de rețea până la curățare.

Ultima actualizare: 19 octombrie 2026