Rank Math PRO 3.0.123 е разпространяван със задна врата

На 16 октомври 2026 г. Rank Math съобщи, че част от копията на Rank Math PRO 3.0.123, платената версия на SEO плъгина, са съдържали зловреден код. Става дума за изтегляния, ръчни или чрез обновление, между 20:02 UTC на 15 октомври и 07:12 UTC на 16 октомври, тоест от 23:02 до 10:12 българско време. Rank Math махна заразените файлове и пусна чиста версия 3.0.124. На 17 октомври Patchstack и Wordfence вписаха инцидента като CVE-2026-111862 с оценка 9.8 по CVSS („критична“).

Обновлението е дошло по обичайния път и е изглеждало като всяко друго. Вътре обаче е имало задна врата, скрит вход, през който нападателят влиза в сайта, когато пожелае.

Какво прави зловредният код

Според Rank Math кодът може да компрометира сайта, ако плъгинът е бил активиран, и да пресъздава задната врата при всяко посещение. Нападателят може да е оставил и други файлове, администраторски акаунти и планирани задачи. Rank Math съветва да приемете, че паролите, ключовете и другите данни за достъп, до които сайтът стига, са изтекли.

Версия 3.0.124 сменя само файловете на плъгина и не маха онова, което кодът вече е създал другаде в сайта. В списъка с промени на Rank Math тя повтаря поправките на 3.0.123 и инцидентът не се споменава. Rank Math не обяснява как кодът е попаднал във файловете, а Patchstack посочва, че защита с правило на защитна стена (виртуален пач) тук не е възможна.

Засегнат ли е Вашият сайт?

Самата версия 3.0.123 не означава, че сайтът е заразен. Според Rank Math значение има кога е изтеглено копието и какво сте направили с него.

• Ако сте инсталирали и активирали 3.0.123 в този период, приемете, че сайтът е хакнат.
• Ако сте я инсталирали, но не сте я активирали, изтрийте файловете ѝ, инсталирайте 3.0.124 от профила си в Rank Math и сканирайте сайта.
• Ако само сте изтеглили архива, без да го инсталирате, според Rank Math няма признаци, че сайтът е засегнат.

Ако сте получили имейл от Rank Math за инцидента, следвайте указанията в него, дори сайтът вече да е на друга версия. Известието се отнася само за PRO. Безплатният Rank Math SEO от каталога на wordpress.org (4 милиона активни инсталации) не се споменава в него, а последната му версия, 1.0.280, е от 6 октомври, преди периода.

Версията на PRO се вижда в Plugins > Installed Plugins. В Terminal на cPanel командата по-долу показва плъгините на Rank Math. Как се работи с WP-CLI, е описано в ръководството за WP-CLI.

# cPanel > Terminal, в папката на сайта
# Само чете. Показва плъгините на Rank Math и версиите им.
wp plugin list --fields=name,title,status,version \
  --skip-plugins --skip-themes | grep -i rank

С --skip-plugins --skip-themes WP-CLI не зарежда плъгините и темата, така че проверката не изпълнява кода на заразения плъгин (плъгините в mu-plugins се зареждат въпреки това). Безплатният плъгин е на реда seo-by-rank-math.

Как да потърсите следи от атаката

Rank Math изброява следите, които зловредният код оставя. Командите по-долу търсят част от тях и нищо не променят.

# cPanel > Terminal, в папката на сайта
# Само чете. Търси следите, описани от Rank Math.
for k in _uf6qdn2hmm t8krdk990phb _np5pvf754c; do
  wp option list --search="$k" --field=option_name \
    --skip-plugins --skip-themes
done
wp user list --role=administrator \
  --fields=ID,user_login,user_email,user_registered \
  --skip-plugins --skip-themes
ls -l wp-includes/class-wp-cache-util.php
wp cron event list --skip-plugins --skip-themes
crontab -l | grep ms6v46

Ако цикълът в началото изведе някое от трите имена, в wp_options има запис на зловредния код. В списъка с администратори търсете непознати потребителски имена, които започват с wpsupport_, и имейли, завършващи на @wp-mail.net. Файлът class-wp-cache-util.php не е част от WordPress, затова на чист сайт ls отговаря с „No such file or directory“. Предпоследната команда показва планираните задачи на WordPress, сред които търсите непознати имена. Последната търси маркера #ms6v46 в задачите (cron) на акаунта в cPanel и на чист сайт не извежда нищо.

Rank Math посочва и следи, които трудно се търсят ръчно, като PHP файлове в mu-plugins и uploads, файлове .cache с PHP код и връзки от сървъра към rank1cdn.com. Ако командите не открият нищо, това още не доказва, че сайтът е чист.

Какво да направите

1. Ако сайтът е бил на заразено копие и то е било активно, не се ограничавайте с обновление. Rank Math препоръчва да възстановите файловете и базата данни от бекъп, направен преди 23:02 часа българско време на 15 октомври. Как се прави това, е описано в ръководството за бекъп.
2. Ако такъв бекъп няма, сайтът се почиства ръчно и редът е важен. Първо изтрийте цялата папка на Rank Math PRO (деактивирането не стига) и трите записа в wp_options, после блокирайте връзките към rank1cdn.com, ако хостингът го позволява. Едва след това махайте останалите следи, иначе задната врата може да се появи отново.
3. Сменете паролите и ключовете дори след възстановяване от бекъп. Става дума за паролите на администраторите и базата данни, ключовете и salts в wp-config.php, ключовете за плащания и SMTP и достъпа до cPanel, FTP и SSH.
4. Накрая инсталирайте 3.0.124, изтеглена от профила Ви в rankmath.com. Ако сайтът е на 3.0.123, но плъгинът е обновен извън периода, също обновете до 3.0.124.

Какво правим ние

При наблюдението на уязвимостите всеки ден сверяваме плъгините, темата и WordPress на Вашия сайт с базите данни с уязвимости (CVE). Щом се появи уязвимост в нещо, което използвате, изпращаме Ви сигнал, а обновлението първо пробваме на копие в staging. Ако проверката по-горе покаже следи от атаката, при почистването на хакнат сайт махаме зловредния код и задните врати. Правим и двете, където и да е хостнат сайтът Ви.

Източници

• Rank Math, Rank Math PRO 3.0.123 Security Incident
• Rank Math, PRO Changelog
• Patchstack, Rank Math SEO PRO 3.0.123 Backdoor
• Wordfence, PSA Malware Found in Some Rank Math SEO PRO 3.0.123 Downloads
• Wordfence, Rank Math SEO PRO 3.0.123 Unauthenticated Embedded Malicious Code
• WordPress.org, Rank Math SEO
• WP-CLI, wp plugin list
• WP-CLI, wp option list
• WP-CLI, wp user list
• WP-CLI, wp cron event list