Частина користувачів SEO-плагіна Rank Math PRO для WordPress минулого тижня отримала версію 3.0.123 зі шкідливим ПЗ. Фактично йдеться про атаку на ланцюг постачання: шкідливий код поширювався через офіційне оновлення. Якщо такий плагін активовано, зловмисники можуть перехопити контроль над сайтом. Розробник уже випустив чисту версію 3.0.124 і закликає власників сайтів перевірити свої ресурси.
Кого зачепив інцидент
Про інцидент повідомила команда Rank Math. Під загрозою опинилися користувачі, які завантажили плагін або оновили його до версії 3.0.123 у проміжку з 20:02 UTC 15 жовтня до 07:12 UTC 16 жовтня 2026 року, тобто з 23:02 15 жовтня до 10:12 16 жовтня за київським часом. Розробник зазначає, що інцидент стосується обмеженої кількості користувачів. Уражені файли одразу видалили й випустили чисту версію Rank Math PRO 3.0.124.
Рівень ризику залежить від того, що саме сталося із завантаженим пакетом:
- Версію 3.0.123 встановили й активували у вказаний період. Сайт слід вважати скомпрометованим і відновлювати за повною процедурою.
- Версію встановили, але не активували. Потрібно видалити файли плагіна, встановити чисту версію 3.0.124 з облікового запису Rank Math і для перестраховки запустити сканування безпеки.
- Пакет лише завантажили, але не встановлювали. За даними розробника, ознак компрометації сайту в цьому разі немає.
Чим небезпечне шкідливе ПЗ
Шкідливий код може забезпечити зловмисникам постійний доступ до сайту та розкрити облікові дані, API-ключі й інші секрети. За даними Rank Math, прихований бекдор може відтворюватися щоразу, коли хтось відкриває сторінку сайту. Через такий механізм закріплення ручне очищення стає складним завданням.
Крім того, шкідливе ПЗ здатне:
- підкладати фальшиві файли ядра WordPress;
- змінювати файли .htaccess, додаючи правила, за якими файли .cache виконуються як PHP-код;
- створювати файли .cache із PHP-кодом;
- додавати заплановані завдання та cron-задачі;
- змінювати інші плагіни й теми та завантажувати на сервер додаткові файли.
Зловмисники можуть вносити зміни й поза межами інсталяції WordPress, тому перевіряти доведеться також серверне середовище.
Як відновити сайт
Варіант 1: резервна копія. Розробник рекомендує саме цей шлях. Сайт і базу даних слід відновити з резервної копії, створеної до 23:02 15 жовтня за київським часом (20:02 UTC). Після цього потрібно просканувати сайт інструментом безпеки, наприклад Wordfence або Sucuri, змінити всі паролі й облікові дані та встановити чисту версію 3.0.124.
Варіант 2: ручне очищення. Якщо резервної копії немає, важливо дотримуватися порядку дій. Поки не вимкнено механізм, який відтворює бекдор, видалення підозрілих файлів може не дати результату. Спершу потрібно:
- Видалити всю теку плагіна rank-math-pro через файловий менеджер хостингу або FTP. Деактивації плагіна недостатньо.
- Видалити шкідливий запис у таблиці wp_options: йдеться про запис, option_name якого має одне зі значень _uf6qdn2hmm, t8krdk990phb або _np5pvf754c.
- За можливості заблокувати вихідні зʼєднання з доменом зловмисників rank1cdn[.]com.
Лише після цього можна шукати інші сліди атаки. Rank Math радить перевірити:
- підозрілі PHP-файли в теці wp-content/mu-plugins/, у теках інших плагінів, у теках inc/, includes/ і lib/ сторонніх тем, а також PHP-файли в теці uploads/, де їх зазвичай не має бути;
- невідомі облікові записи адміністраторів, зокрема з іменами на кшталт wpsupport_ із випадковими символами або з адресами в домені @wp-mail[.]net;
- файл wp-includes/class-wp-cache-util.php: це не справжній файл ядра WordPress, тож його слід видалити й перевстановити ядро з офіційного джерела;
- правила в .htaccess і файли .cache з PHP-кодом;
- заплановані завдання, зокрема cron-задачі з позначкою #ms6v46;
- серверне середовище: файли SSH authorized_keys, crontab інших системних користувачів, запущені процеси та всі місця поза каталогом сайту, куди має право запису користувач вебсервера.
Власникам сайтів на спільному хостингу, які не мають доступу до цих областей, варто звернутися до хостинг-провайдера.
Після очищення
Коли сайт перевірено й очищено, обовʼязково потрібно змінити всі облікові дані, навіть якщо сайт відновлено з резервної копії. Це стосується паролів WordPress, облікових даних бази даних у wp-config.php, ключів безпеки та «солей» WordPress, API-ключів платіжних шлюзів і SMTP, а також доступів до панелі хостингу, FTP/SFTP і SSH. Варто також переналаштувати двофакторну автентифікацію для облікових записів адміністраторів.
Чисту версію Rank Math PRO 3.0.124 слід завантажувати лише з облікового запису на сайті rankmath.com, відкривши його безпосередньо. Розробник наголошує, що ніколи не надсилає посилань для входу чи завантаження електронною поштою. Листи з пропозицією скинути пароль або завантажити оновлення за посиланням слід вважати підозрілими: на тлі інциденту зловмисники можуть використовувати таку тему для фішингу.
