Платный плагин Rank Math PRO распространялся с вредоносным кодом в копиях, скачанных с или полученных через обновление с 20:02 UTC 15 октября до 07:12 UTC 16 октября. Rank Math сообщил об инциденте в уведомлении от 16 октября. Если заражённую копию установили и активировали, сайт следует считать скомпрометированным: при посещении сайта вредоносная программа может восстановить скрытый бэкдор. Rank Math удалил заражённые файлы и выпустил чистую версию 3.0.124. Но установка обновления не удаляет другие файлы, учётные записи администраторов и задания, которые вредоносная программа могла оставить на сервере. На это отдельно указала Wordfence в сообщении от 17 октября.
По номеру версии нельзя определить, попал ли сайт под атаку. В журнале изменений Rank Math версия 3.0.123 датирована 7 октября, однако инцидент касается только копий, скачанных или установленных через обновление в указанное временное окно. Копия 3.0.123, полученная до 20:02 UTC 15 октября, за его пределами. Rank Math рекомендует считать сайт заражённым, если 3.0.123 установили и активировали в период атаки, даже если позже плагин обновили до 3.0. Если плагин установили, но не активировали, его файлы нужно удалить, установить 3.0.124 из личного кабинета Rank Math и просканировать сайт. Если заражённую копию лишь скачали, но не устанавливали и не активировали, сам факт загрузки не означает компрометацию.
Уведомление относится только к Rank Math PRO: платный плагин скачивают и обновляют через . Бесплатный Rank Math SEO, размещённый на , в сообщении не упоминается. У него более 4 миллионов активных установок; последнее обновление вышло 6 октября. Rank Math разослал письма некоторым пользователям. Тем, кто не уверен, устанавливали или активировали ли они заражённые файлы, компания предложила обратиться в поддержку.
Опубликованных сведений о вредоносном коде пока мало: ни Rank Math, ни Wordfence не представили его технического разбора и не назвали предполагаемых авторов атаки. Удаление подозрительных файлов без остановки механизма, который создаёт бэкдор заново, может не решить проблему. По данным Wordfence, злоумышленники могли размещать PHP-бэкдоры в каталогах других плагинов, тем, папке must-use plugins и за пределами сайта; создавать администраторские учётные записи; добавлять поддельный файл ядра WordPress; менять
Wordfence присвоила инциденту обозначение CVE-2026-111862 и оценку 9,8 из 10; исследователь указан как неизвестный. Patchstack классифицировала случившееся как бэкдор и отметила, что для смягчения атаки «невозможно создать правило», поскольку целью стали собственные системы Rank Math.
Самый надёжный вариант восстановления — вернуть резервную копию сайта и базы данных, созданную до 20:02 UTC 15 октября. После восстановления следует просканировать сайт, сменить все пароли и учётные данные и только затем установить 3.0.124 из аккаунта Rank Math. Если чистой копии нет, порядок действий имеет значение. Сначала через файловый менеджер хостинга или FTP нужно удалить весь каталог
Лишь после этих действий нужно искать другие изменения. Проверить следует PHP-файлы в
На сервере нужно проверить правила
Учётные данные необходимо сменить в любом случае, в том числе после восстановления резервной копии. Это касается паролей WordPress, имени пользователя и пароля базы данных в
Компания Rank Math входит в шведскую хостинговую группу , но не сообщила, как вредоносные файлы попали в систему загрузок и обновлений, сколько клиентов получили заражённую копию, доставлялись ли файлы автоматически и каковы хеш-суммы чистого и заражённого пакетов. О будущей защите компания сообщила лишь, что принимает меры для снижения риска подобных инцидентов. По данным реестров, домен
Это как минимум третий за год случай, когда канал обновлений, управляемый поставщиком платного WordPress-плагина, распространял сборки с бэкдором. В апреле система обновлений Nextend около шести часов раздавала заражённую версию Smart Slider 3 Pro. В июне бэкдоры обнаружили в канале обновлений Pro-плагинов ShapedPlugin: один пакет, который изначально поставлялся чистым, позднее «подменили под тем же номером версии». В июне злоумышленники также изменили скрипты, загружавшиеся с CDN Awesome Motive, а в августе отравили API-ленту BdThemes. Опубликованных данных, связывающих участников этих атак с инцидентом Rank Math, нет.
Изображение носит иллюстративный характер
По номеру версии нельзя определить, попал ли сайт под атаку. В журнале изменений Rank Math версия 3.0.123 датирована 7 октября, однако инцидент касается только копий, скачанных или установленных через обновление в указанное временное окно. Копия 3.0.123, полученная до 20:02 UTC 15 октября, за его пределами. Rank Math рекомендует считать сайт заражённым, если 3.0.123 установили и активировали в период атаки, даже если позже плагин обновили до 3.0. Если плагин установили, но не активировали, его файлы нужно удалить, установить 3.0.124 из личного кабинета Rank Math и просканировать сайт. Если заражённую копию лишь скачали, но не устанавливали и не активировали, сам факт загрузки не означает компрометацию.
Уведомление относится только к Rank Math PRO: платный плагин скачивают и обновляют через . Бесплатный Rank Math SEO, размещённый на , в сообщении не упоминается. У него более 4 миллионов активных установок; последнее обновление вышло 6 октября. Rank Math разослал письма некоторым пользователям. Тем, кто не уверен, устанавливали или активировали ли они заражённые файлы, компания предложила обратиться в поддержку.
Опубликованных сведений о вредоносном коде пока мало: ни Rank Math, ни Wordfence не представили его технического разбора и не назвали предполагаемых авторов атаки. Удаление подозрительных файлов без остановки механизма, который создаёт бэкдор заново, может не решить проблему. По данным Wordfence, злоумышленники могли размещать PHP-бэкдоры в каталогах других плагинов, тем, папке must-use plugins и за пределами сайта; создавать администраторские учётные записи; добавлять поддельный файл ядра WordPress; менять
.htaccess, разрешая запуск .cache как PHP; добавлять задания планировщика и SSH-ключи. Секреты, доступные сайту, следует считать раскрытыми: это могут быть пароли, данные базы, API-ключи и другие учётные данные. Wordfence присвоила инциденту обозначение CVE-2026-111862 и оценку 9,8 из 10; исследователь указан как неизвестный. Patchstack классифицировала случившееся как бэкдор и отметила, что для смягчения атаки «невозможно создать правило», поскольку целью стали собственные системы Rank Math.
Самый надёжный вариант восстановления — вернуть резервную копию сайта и базы данных, созданную до 20:02 UTC 15 октября. После восстановления следует просканировать сайт, сменить все пароли и учётные данные и только затем установить 3.0.124 из аккаунта Rank Math. Если чистой копии нет, порядок действий имеет значение. Сначала через файловый менеджер хостинга или FTP нужно удалить весь каталог
rank-math-pro: Rank Math предупреждает, что «одной деактивации плагина недостаточно». Затем в таблице wp_options следует удалить записи, у которых option_name равен _uf6qdn2hmm, t8krdk990phb или _np5pvf754c. Третий шаг — заблокировать исходящие соединения с rank1cdn[.]com, если это позволяет хостинг или сетевой экран. Лишь после этих действий нужно искать другие изменения. Проверить следует PHP-файлы в
wp-content/mu-plugins/, каталогах других плагинов, папках inc/, includes/ и lib/ нестандартных тем, в includes/ самого Rank Math и в uploads/. В коде стоит искать base64_decode вместе с XOR-циклами, ключ xmmqhn, вызовы proc_open и код работы с сокетами PHP-FPM. Файл wp-includes/class-wp-cache-util.php не относится к ядру WordPress. Среди учётных записей подозрительны администраторы с именами, начинающимися на wpsupport_, и адресами электронной почты, заканчивающимися на @wp-mail[.]net. На сервере нужно проверить правила
.htaccess, позволяющие исполнять .cache как PHP, и сами .cache-файлы на наличие PHP-кода. Также следует изучить crontab пользователя веб-сервера, в том числе записи с меткой ms6v46, запланированные события WordPress, SSH-файлы authorized_keys, задания cron других пользователей, работающие процессы и любые каталоги за пределами сайта, доступные для записи веб-серверу. Wordfence отдельно предупреждает: «Отсутствие этих признаков само по себе не доказывает, что сайт чист». Учётные данные необходимо сменить в любом случае, в том числе после восстановления резервной копии. Это касается паролей WordPress, имени пользователя и пароля базы данных в
wp-config.php, ключей и солей безопасности там же, ключей платёжных шлюзов, SMTP и других API, доступа к панели хостинга, FTP, SFTP и SSH, секретов в переменных окружения, а также двухфакторной аутентификации администраторов. После очистки нужно провести сканирование и выполнить wp core verify-checksums и wp plugin verify-checksums --all. Для платных плагинов контрольных сумм может не быть: не публикует их для Rank Math PRO. The Hacker News проверило свой сервис plugin-checksums 19 октября и не нашло в нём PRO-плагин ни под одним из двух названий; контрольная сумма бесплатной версии там есть. Чистую 3.0.124 следует устанавливать последней, войдя непосредственно на . Некоторым пользователям может потребоваться сбросить пароль аккаунта: в уведомлении не объясняется почему. Rank Math предупреждает, что никогда не присылает по электронной почте ссылки для входа или скачивания. Компания Rank Math входит в шведскую хостинговую группу , но не сообщила, как вредоносные файлы попали в систему загрузок и обновлений, сколько клиентов получили заражённую копию, доставлялись ли файлы автоматически и каковы хеш-суммы чистого и заражённого пакетов. О будущей защите компания сообщила лишь, что принимает меры для снижения риска подобных инцидентов. По данным реестров, домен
rank1cdn[.]com, который Rank Math советует блокировать, зарегистрировали 14 октября в 19:31 UTC, примерно за сутки до начала окна атаки. Это как минимум третий за год случай, когда канал обновлений, управляемый поставщиком платного WordPress-плагина, распространял сборки с бэкдором. В апреле система обновлений Nextend около шести часов раздавала заражённую версию Smart Slider 3 Pro. В июне бэкдоры обнаружили в канале обновлений Pro-плагинов ShapedPlugin: один пакет, который изначально поставлялся чистым, позднее «подменили под тем же номером версии». В июне злоумышленники также изменили скрипты, загружавшиеся с CDN Awesome Motive, а в августе отравили API-ленту BdThemes. Опубликованных данных, связывающих участников этих атак с инцидентом Rank Math, нет.
