Версия Rank Math PRO 3.0.123 распространялась с вредоносным ПО

Rank Math PRO 3.0.123 распространялась с вредоносным ПО в пакетах, загруженных или обновлённых с 15 октября 2026 года, 20:02 UTC, по 16 октября 2026 года, 07:12 UTC. Бесплатный плагин Rank Math SEO не затронут. Чистая версия для замены — 3.0.124. Сайты, на которых активировали поддельную версию пакета, следует считать скомпрометированными, даже если активация произошла после указанного периода: пакет мог быть получен в это время.

После активации вредоносный код на PHP может модифицировать среду WordPress и базу данных, закрепиться для постоянного выполнения и заново создавать скрытые бэкдоры при посещении страниц сайта. При этом сайт может выглядеть нормально. Среди возможных последствий кража паролей, учётных данных базы данных, API-ключей и других секретов, SEO-спам, вредоносные перенаправления, установка дополнительного вредоносного ПО, создание несанкционированных учётных записей администраторов и компрометация других ресурсов сервера хостинга.

Отключения плагина через панель управления WordPress недостаточно. Закрепление может сохраняться за пределами каталога плагина или восстанавливаться при последующих запросах. В ходе расследования проверяют:

• временные метки загрузки, обновления и активации плагинов;
• таблицы wp_options и каталог mu-plugins;
• темы и файл .htaccess;
• конфигурацию cron и файл authorized_keys для SSH;
• учётные записи хостинга и базы данных;
• расположение файлов на сервере за пределами корневой директории веб-сайта.

К релевантным индикаторам компрометации относятся:

• ключи таблицы wp_options _uf6qdn2hmm, t8krdk990phb и _np5pvf754c;
• учётные записи администраторов, соответствующие шаблону wpsupport_*;
• адреса электронной почты с доменом @wp-mail.net;
• взаимодействие с доменом rank1cdn.com;
• файл class-wp-cache-util.php и PHP-файлы с расширением .cache;
• правила, запускающие файлы .cache как PHP;
• записи cron со строкой #ms6v46.

Подозрительный код может сочетать функцию base64_decode с ключом XOR xmmqhn, использовать функцию proc_open или обмениваться данными через сокеты PHP-FPM.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.