Злоумышленники внедрили вредоносный код в SEO-плагин Rank Math PRO для WordPress
Изображение: OpenAI
SEO-плагин Rank Math PRO для WordPress скомпрометировали в ходе атаки на цепочку поставок, сообщает SecurityWeek. По данным разработчика плагина Rank Math, часть пакетов версии 3.0.123 содержала вредоносный код, который мог дать злоумышленникам контроль над сайтом после активации плагина.
Вредоносный код может заново создавать скрытый бэкдор при каждом посещении страницы, что может затруднить ручную очистку и позволить атакующим сохранять доступ к сайту. Он также может открыть доступ к секретам сайта, включая учётные данные и ключи API.
Потенциально затронуты пользователи, которые скачали или обновили плагин до версии 3.0.123 с 20:02 UTC 15 октября до 07:12 UTC 16 октября 2026 года. Тем, кто установил и активировал эту версию в указанный период, Rank Math рекомендует считать сайт скомпрометированным и восстановить его из чистой резервной копии, созданной до инцидента.
Если такой копии нет, Rank Math рекомендует выполнить ручную очистку:
- удалить папку плагина Rank Math PRO и вредоносную запись в базе данных;
- заблокировать домен атакующих
rank1cdn[.]com; - найти и удалить подозрительные PHP-файлы и неизвестные учётные записи администраторов.
Вредоносный код также может размещать поддельные файлы ядра WordPress, менять .htaccess так, чтобы файлы .cache выполнялись как PHP-код, создавать такие файлы, ставить задания cron, изменять другие плагины и темы и загружать на сайт другие файлы. Проверять нужно не только WordPress: злоумышленники могли внести изменения и за его пределами. Администраторам стоит проверить файлы authorized_keys для SSH, задания cron других системных пользователей, подозрительные процессы и другие каталоги, в которые пользователь веб-сервера может записывать файлы.
Rank Math удалила заражённые файлы и выпустила чистую версию 3.0.124. После проверки, что сайт очищен, пользователям рекомендуют сменить все пароли и установить эту версию плагина.
