Заражене оновлення Rank Math PRO 3.0.123: перевірка й очищення сайту

Rank Math PRO, платна версія SEO-плагіна Rank Math для WordPress, 15 і 16 жовтня роздавала через власний сайт і канал оновлень версію 3.0.123 зі шкідливим кодом. Заражені копії завантажувались або встановлювались оновленням з 15 жовтня 23:02 по 16 жовтня 10:12 за Києвом. Якщо таку копію встановили й активували, сайт треба вважати зламаним, навіть якщо його вже оновили до чистої 3.0.124. Про це Rank Math написали в інструкції для власників заражених сайтів 16 жовтня.

Безкоштовної версії плагіна з каталогу WordPress.org, яка стоїть на понад 4 млн сайтів, інцидент не стосується.

Як перевірити, чи зачепило ваш сайт

Номер версії сам по собі нічого не показує. Версія 3.0.123 вийшла 7 жовтня, і копія, завантажена до 15 жовтня 23:02 за Києвом, чиста.

• Встановили й активували 3.0.123 у цей проміжок: сайт вважати зламаним і відновлювати за кроками нижче.
• Встановили, але не активували: видалити файли плагіна, поставити 3.0.124 зі свого акаунта Rank Math і перевірити сайт сканером.
• Тільки завантажили: ознак зламу від цього інциденту немає.

Частині користувачів Rank Math надіслали листи. Якщо ви не знаєте, чи встановлювали заражений файл, Rank Math радять написати в їхню підтримку.

Що робить шкідливий код у Rank Math PRO

Шкідливий код ставить на сайт бекдор, тобто прихований вхід, через який зловмисник може зайти на сайт будь-коли. Бекдор відновлюється при кожному відвідуванні сайту, тому видалити підозрілі файли або вимкнути плагін недостатньо. Зловмисник міг також залишити PHP-файли в папках інших плагінів і тем, створити нових адміністраторів, змінити .htaccess, додати завдання за розкладом і SSH-ключі. Rank Math радять вважати, що всі паролі, доступи до бази даних і API-ключі, з якими працював сайт, уже потрапили до зловмисника.

Patchstack, база вразливостей WordPress, оцінюють інцидент на 9,8 з 10 і присвоїли йому номер CVE-2026-111862 у міжнародному реєстрі вразливостей. Атакували інфраструктуру самого Rank Math, тому Patchstack пишуть, що закрити це правилом файрвола неможливо.

Як шкідливі файли потрапили на сервери Rank Math і скільки клієнтів їх отримали, компанія не пише.

Як відновити сайт після зараженого оновлення

Rank Math радять відновити сайт і базу даних з резервної копії, зробленої до 15 жовтня 23:02 за Києвом. Після цього перевірити сайт сканером, наприклад Wordfence або Sucuri, змінити всі паролі й ключі і тільки потім поставити 3.0.124 зі свого акаунта на rankmath.com.

Без резервної копії сайт доведеться чистити вручну. Перші три кроки робити до всього іншого і в такому порядку:

1. Видалити всю папку rank-math-pro через файловий менеджер хостингу або FTP.
2. У таблиці wp_options видалити записи, де option_name дорівнює _uf6qdn2hmm, t8krdk990phb або _np5pvf754c.
3. Заблокувати вихідні з'єднання з доменом rank1cdn.com, якщо це дозволяє хостинг або файрвол.

Далі шукати інші сліди зловмисника:

• PHP-файли в wp-content/mu-plugins/, у папках інших плагінів, у папках inc/, includes/ і lib/ нестандартних тем, у папці includes/ самого Rank Math і в uploads/.
• PHP-код з base64_decode разом із циклами XOR, ключем xmmqhn, proc_open або кодом для сокетів PHP-FPM.
• Файл wp-includes/class-wp-cache-util.php. У ядрі WordPress такого файлу немає.
• Адміністраторів з логіном, що починається на wpsupport_, або з поштою на @wp-mail.net.
• Правила в .htaccess, які запускають файли .cache як PHP, і самі файли .cache з PHP-кодом.
• Рядки з позначкою #ms6v46 у crontab вебсервера, завдання за розкладом WordPress, SSH-ключі в authorized_keys і процеси, запущені на сервері.

Плагіни й теми Rank Math радять перевстановити з офіційних джерел.

Які паролі змінити

Паролі треба змінити в будь-якому разі, навіть після відновлення з резервної копії:

• Паролі акаунтів WordPress.
• Логін і пароль бази даних, а також ключі й солі в wp-config.php.
• Ключі платіжних систем, SMTP та інших API.
• Доступи до панелі хостингу, FTP, SFTP і SSH.
• Двофакторну автентифікацію адміністраторів.

Після очищення Rank Math радять знову перевірити сайт сканером і запустити wp core verify-checksums та wp plugin verify-checksums --all. Для платних плагінів контрольних сум може не бути, тоді файли порівнюють з чистою копією з офіційного джерела.

Чисту 3.0.124 ставити останньою, завантаживши її після входу на rankmath.com. Частина користувачів не зможе увійти і муситиме скинути пароль акаунта. Rank Math пишуть, що ніколи не надсилають посилань для входу чи завантаження листом.

На початку вересня Rank Math без згоди власників передавали адмінський доступ до сайтів своїй материнській компанії group.one.

21 жовтня PHP випускають екстрені патчі двох критичних вразливостей у самому PHP, і для сайтів на PHP 8.1 та старіших виправлень не буде.