Обычное обновление SEO-плагина превратилось в угрозу полного захвата сайтов на WordPress. Разработчики Rank Math подтвердили, что через официальные каналы распространялись заражённые копии Rank Math PRO 3.0.123. Вредоносный код создавал скрытые точки доступа, которые могли восстанавливаться даже после удаления подозрительных файлов. Компания выпустила чистую версию 3.0.124, но одного обновления недостаточно.
Опасные сборки распространялись с 15 октября 2026 года, 20:02 UTC, до 16 октября, 07:12 UTC. За эти 11 часов пользователи могли скачать заражённый пакет с сайта Rank Math или получить его через механизм обновлений. Проблема затронула только часть платных установок. Бесплатная версия Rank Math SEO из каталога WordPress.org не пострадала, а копии PRO 3.0.123, полученные до указанного периода, не входят в установленное окно заражения.
Главная опасность заключается в механизме самовосстановления. Вредоносный код способен повторно создавать бэкдор при посещении заражённого сайта. Поэтому удаление отдельных PHP-файлов или отключение плагина не гарантирует очистку. Похожий принцип ранее обнаружили у самовосстанавливающегося бэкдора SC, который закреплялся сразу в нескольких компонентах WordPress.
Для сохранения доступа атакующие использовали скрытые PHP-скрипты, записи в базе данных и задания планировщика. Среди признаков заражения встречаются поддельные учётные записи администраторов с префиксом wpsupport_, подозрительный файл wp-includes/class-wp-cache-util.php и соединения с доменом rank1cdn.com. Дополнительные компоненты могли находиться в каталогах других плагинов и тем, что осложняет поиск вредоносного кода.
Разработчики предупреждают о возможной компрометации конфиденциальных данных, доступных серверу. Под угрозой находятся пароли WordPress, реквизиты подключения к базам данных, API-ключи, платёжные настройки и данные доступа к хостингу. Подтверждений кражи информации на каждом заражённом сайте нет. Однако владельцам ресурсов, где активировали вредоносную сборку, рекомендуют считать секреты раскрытыми и заменить соответствующие ключи и пароли.
Rank Math советует восстанавливать сайты и базы данных из резервных копий, созданных до 15 октября, 20:02 UTC. При ручной очистке сначала нужно полностью удалить каталог rank-math-pro, затем убрать вредоносные записи _uf6qdn2hmm, t8krdk990phb и _np5pvf754c из таблицы параметров WordPress. После удаления механизма восстановления необходимо проверить скрытые файлы, учётные записи, задания cron и настройки сервера.
Подобные инциденты показывают опасность заражения через официальные обновления. В июне 2026 года вредоносный код также распространялся через инфраструктуру разработчиков коммерческих дополнений WordPress. В случае Rank Math установка исправленной версии 3.0.124 устраняет заражённый компонент, но не удаляет бэкдоры и другие изменения, которые успели появиться после активации вредоносного пакета.
Компания уже убрала опасные файлы из распространения. Владельцам сайтов, где заражённую сборку скачали, но не активировали, достаточно удалить пакет, установить чистую версию и проверить систему. Причину компрометации инфраструктуры Rank Math и личность атакующих пока не раскрыли. Точное количество пострадавших установок также неизвестно. Дополнительно после обновления внутренних систем компания удалила часть недавно созданных бесплатных аккаунтов, которые придётся зарегистрировать заново.
