Rank Math PRO 3.0.123 obsahoval malware: jak zkontrolovat a vyčistit web

Pokud jsi mezi 15. a 16. říjnem 2026 instaloval nebo aktualizoval Rank Math PRO, zkontroluj nejen verzi, ale i čas, kdy jsi balíček získal. Část oficiálních balíčků verze 3.0.123 obsahovala malware, který se spustil při aktivaci pluginu. Čistá verze 3.0.124 už škodlivý kód neobsahuje, ale neodstraní zadní vrátka, účty ani naplánované úlohy, které malware mezitím vytvořil jinde.

Co se stalo a které balíčky jsou zasažené

Útok zasáhl dodavatelský řetězec: malware se dostal přímo do oficiálního instalačního a aktualizačního balíčku pluginu. Nešlo tedy o běžnou chybu v kódu, kterou by útočník následně zneužil. Incident má označení CVE-2026-111862 a skóre závažnosti CVSS 9,8 – kritická; záznam jej klasifikuje jako vložený škodlivý kód dostupný bez autentizace.

Zasažené kopie se distribuovaly od 15. října 2026 ve 20:02 UTC do 16. října 2026 v 07:12 UTC, tedy přibližně 11 hodin. V českém letním čase jde o interval 15. října ve 22:02 až 16. října v 09:12 CEST. Rank Math škodlivé balíčky odstranil a vydal čistou verzi 3.0.124.

Samotné číslo verze 3.0.123 nákazu nedokazuje. Rozhoduje, zda jsi získal některý ze zasažených balíčků v uvedeném intervalu. Rank Math eviduje účty, které tyto kopie stáhly, a jejich majitele upozorňuje; pokud ti oznámení přišlo, řeš odpovídající postup i tehdy, když už web používá jinou verzi.

Incident se týká placeného doplňku Rank Math PRO, jehož identifikátor je seo-by-rank-math-pro. Bezplatný plugin Rank Math oznámení mezi zasaženými produkty neuvádí. Způsob, jakým útočník balíčky pozměnil, Rank Math nezveřejnil.

Nejdřív rozliš tři situace

V administraci WordPressu otevři Pluginy a ověř nainstalovanou verzi Rank Math PRO. Potom zjisti, kdy jsi instalační balíček získal a jestli se plugin aktivoval. Pro balíček ze zasaženého intervalu platí tyto tři postupy:

1. Verzi 3.0.123 jsi nainstaloval a aktivoval: považuj web za kompromitovaný a pokračuj obnovou ze zálohy nebo ručním čištěním.
2. Verzi 3.0.123 jsi nainstaloval, ale nikdy neaktivoval: smaž soubory zasaženého pluginu, ze svého účtu Rank Math stáhni čistou verzi 3.0.124 a nainstaluj ji. Preventivně spusť bezpečnostní kontrolu.
3. Verzi 3.0.123 jsi pouze stáhl, ale nenainstaloval ani neaktivoval: samotný tento incident neukazuje na kompromitaci webu. Pokud si nejsi jistý, zda se soubory na web dostaly nebo zda se plugin aktivoval, obrať se na podporu.

Co mohl malware na webu udělat

Škodlivý kód se spouští při aktivaci pluginu a může útočníkovi zajistit trvalý přístup. Komunikuje s doménou rank1cdn[.]com a při návštěvách webu dokáže znovu vytvářet skrytá zadní vrátka. Právě proto při ručním čištění záleží na pořadí kroků.

Za potenciálně odhalené považuj přístupové údaje WordPressu, databáze, API klíče i další tajné údaje, které může přečíst proces webového serveru. Obnova souborů ani návrat databáze ze zálohy tyto údaje nezmění. Musíš je vyměnit samostatně.

Varianta A: obnov web z čisté zálohy

Nejvhodnější cesta vede přes zálohu souborů i databáze z doby před začátkem incidentu. Hledej zálohu starší než 15. října 2026 ve 22:02 CEST, tedy 20:02 UTC. Stejný okamžik odpovídá 15. říjnu v 16:02 EDT a 16. říjnu v 01:32 IST.

1. Obnov soubory webu i databázi ze zálohy, která vznikla před uvedeným časem.
2. Spusť bezpečnostní kontrolu důvěryhodným nástrojem, například Wordfence nebo Sucuri.
3. Vyměň všechna hesla a další přístupové údaje. Počítej s tím, že tajné údaje dostupné napadenému webu mohly uniknout. Konkrétní seznam najdeš níže.
4. Nainstaluj čistý Rank Math PRO 3.0.124, který stáhneš ze svého účtu Rank Math.

Pokud si s obnovou zálohy nejsi jistý, požádej o pomoc hosting. Ani po návratu k čisté záloze nevynechávej výměnu přístupových údajů a následné kontroly webu.

Varianta B: vyčisti web ručně v přesném pořadí

Bez použitelné čisté zálohy musíš odstranit malware a dohledat další změny, které útočník provedl. Nejdřív zastav mechanismus, který zadní vrátka obnovuje, a teprve potom maž jeho další soubory. Jinak je může příští návštěva webu vytvořit znovu.

1. Zastav obnovování škodlivého kódu

Než začneš hledat další zadní vrátka, dokonči všechny následující kroky. Pouhá deaktivace Rank Math PRO nestačí.

1. Smaž celou složku pluginu rank-math-pro. Použij správce souborů hostingu nebo FTP.
2. Odstraň škodlivé záznamy z databáze. Například v phpMyAdmin otevři tabulku wp_options a smaž nalezené řádky, jejichž option_name odpovídá hodnotám _uf6qdn2hmm, t8krdk990phb nebo _np5pvf754c. Pokud instalace používá jiný prefix tabulek, pracuj s její odpovídající tabulkou options.
3. Pokud to hosting nebo firewall umožňuje, zablokuj odchozí spojení na rank1cdn.com.

2. Najdi další soubory, účty a změny na serveru

Útočník mohl zanechat více nezávislých cest zpět. Projdi proto všechny následující oblasti, i když už jsi jeden škodlivý soubor našel a odstranil.

Skrytá zadní vrátka v PHP

Podezřelé PHP soubory hledej zejména na následujících místech. S prohledáním a odstraněním škodlivých souborů ti může pomoci bezpečnostní plugin nebo hosting.

• wp-content/mu-plugins/
• Adresáře ostatních pluginů.
• Adresáře inc/, includes/ a lib/ u šablon, které nepatří mezi výchozí šablony WordPressu.
• Adresář includes/ pluginu Rank Math.

V kódu hledej base64_decode v kombinaci se smyčkami XOR, klíč xmmqhn, volání proc_open a kód pracující se sockety PHP-FPM. Jde o stopy, které je potřeba posoudit v kontextu konkrétního souboru, ne o důvod bez kontroly smazat každý výskyt těchto funkcí.

Neznámí administrátoři

Prohlédni všechny účty s rolí administrátora. Zaměř se na neznámá jména začínající wpsupport_ s náhodnými znaky za podtržítkem a na adresy končící @wp-mail[.]net. Účty, u kterých potvrdíš škodlivý nebo neoprávněný původ, odstraň.

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

Podvržený soubor WordPress core

Soubor wp-includes/class-wp-cache-util.php není legitimní součást WordPress core. Pokud existuje, odstraň ho a ověř kontrolní součty core. Potom přeinstaluj soubory WordPress core z oficiálního zdroje, aby na webu nezůstaly jiné pozměněné soubory.

wp core verify-checksums

wp core verify-checksums

Pravidla .htaccess a soubory .cache

Zkontroluj .htaccess v kořenovém adresáři webu i v podadresářích. Hledej pravidla, která dovolují spouštět soubory .cache jako PHP. Na serveru zároveň vyhledej soubory .cache s PHP kódem a podezřelé nálezy prozkoumej.

Systémový cron a události WordPressu

V systémovém crontabu uživatele, pod kterým běží webový server, hledej úlohy označené #ms6v46. Samostatně projdi události naplánované ve WordPressu. Škodlivé úlohy po ověření odstraň.

wp cron event list

wp cron event list

Ostatní pluginy, šablony a nahrané soubory

• Přeinstaluj pluginy a šablony z jejich oficiálních zdrojů. Kde to jde, porovnej stávající soubory s čistými kopiemi.
• V adresáři uploads/ hledej PHP soubory, které tam zpravidla nemají co dělat.
• Nečekané nebo pozměněné soubory nejdřív prozkoumej a až potom rozhodni o jejich odstranění.

Prostředí mimo adresář webu

Kontrola samotného WordPressu nemusí odhalit všechny změny. Prověř i následující části serveru; na sdíleném hostingu požádej poskytovatele, aby zkontroloval oblasti, ke kterým nemáš přístup.

• Soubory SSH authorized_keys.
• Crontaby ostatních systémových uživatelů.
• Běžící procesy.
• Místa mimo adresář webu, do kterých může zapisovat uživatel webového serveru.

Přehled indikátorů a rychlá kontrola přes WP-CLI

Indikátory kompromitace jsou konkrétní stopy, podle kterých můžeš dohledat aktivitu malwaru. Následující přehled se hodí při kontrole více webů, nenahrazuje ale celý postup obnovy a čištění.

• Komunikace: doména rank1cdn[.]com.
• Databáze: hodnoty option_name _uf6qdn2hmm, t8krdk990phb a _np5pvf754c.
• PHP kód: klíč xmmqhn, base64_decode společně se smyčkami XOR, proc_open a kód pro sockety PHP-FPM.
• Účty: přihlašovací jména wpsupport_… a e-maily na doméně wp-mail[.]net.
• Podvržený soubor: wp-includes/class-wp-cache-util.php.
• Cron: značka #ms6v46 v systémovém crontabu.
• Pravidla a soubory: .htaccess dovolující spouštět .cache jako PHP a soubory .cache obsahující PHP.

Pro rychlou orientaci můžeš použít WP-CLI, tedy nástroj pro správu WordPressu z příkazové řádky, a několik shellových příkazů. Ukázka nic nemaže a netvoří automatický čisticí skript. U systémového cronu nahraď www-data, pokud webový server běží pod jiným uživatelem; kontrola cizího crontabu může vyžadovat vyšší oprávnění.

# Nainstalovaná verze PRO doplňku.
wp plugin get seo-by-rank-math-pro --field=version

# Známé škodlivé položky v options.
wp option get _uf6qdn2hmm
wp option get t8krdk990phb
wp option get _np5pvf754c

# Administrátoři a naplánované události WordPressu.
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
wp cron event list

# Kontrola core a známého podvrženého souboru.
wp core verify-checksums
ls -la wp-includes/class-wp-cache-util.php

# Systémový cron: uprav uživatele podle svého serveru.
crontab -l -u www-data | grep 'ms6v46'

# Výskyty známého klíče v obsahu webu.
grep -RIn -- 'xmmqhn' wp-content/

# Nainstalovaná verze PRO doplňku.
wp plugin get seo-by-rank-math-pro --field=version

# Známé škodlivé položky v options.
wp option get _uf6qdn2hmm
wp option get t8krdk990phb
wp option get _np5pvf754c

# Administrátoři a naplánované události WordPressu.
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
wp cron event list

# Kontrola core a známého podvrženého souboru.
wp core verify-checksums
ls -la wp-includes/class-wp-cache-util.php

# Systémový cron: uprav uživatele podle svého serveru.
crontab -l -u www-data | grep 'ms6v46'

# Výskyty známého klíče v obsahu webu.
grep -RIn -- 'xmmqhn' wp-content/

3. Vyměň hesla, klíče a další přístupové údaje

Po odstranění škodlivého kódu nahraď tajné údaje novými bezpečnými hodnotami. Tento krok je nezbytný i při obnově z čisté zálohy. Vycházej z předpokladu, že útočník mohl přečíst vše, co bylo dostupné kompromitovanému webu.

• Všechna relevantní hesla: změň hesla účtů WordPressu a další přístupové údaje, ke kterým měl napadený web přístup.
• Databáze: změň databázové uživatelské jméno i heslo a uprav odpovídající hodnoty v wp-config.php.
• Bezpečnostní klíče a soli WordPressu: vygeneruj nové hodnoty klíčů a solí v wp-config.php.
• API a připojené služby: nahraď klíče platebních bran, přístupové údaje SMTP, API klíče a další tajné údaje uložené v nastavení webu nebo konfiguračních souborech.
• Hosting a server: změň přístupy do ovládacího panelu hostingu, FTP/SFTP a SSH. Prověř také tajné údaje v proměnných prostředí.
• Dvoufaktorové ověřování: zkontroluj nastavení administrátorských účtů a tam, kde je to potřeba, ho resetuj.

Nové údaje doplň všude, kde je web a připojené služby potřebují. Pokud nedokážeš určit celý rozsah dostupných tajných údajů, projdi ho s hostingem nebo bezpečnostním specialistou.

4. Ověř výsledek a sleduj, jestli se nákaza nevrací

Po dokončení čištění prověř web více nezávislými kontrolami. Důležitý je také jeho stav během dalších dnů, protože návrat smazaných souborů může odhalit přehlédnutý mechanismus obnovy malwaru.

1. Spusť bezpečnostní kontrolu důvěryhodným nástrojem, například Wordfence nebo Sucuri.
2. Ověř kontrolní součty souborů WordPress core příkazem wp core verify-checksums.
3. Ověř soubory pluginů příkazem wp plugin verify-checksums --all. Kontrolní součty nejsou dostupné pro každý plugin, zejména u placených pluginů. V takovém případě soubory porovnej s čistou kopií z oficiálního zdroje.
4. V následujících dnech sleduj odchozí spojení a další podezřelou aktivitu.
5. Kontroluj, zda se soubory, které jsi odstranil, znovu neobjevují.

wp core verify-checksums
wp plugin verify-checksums --all

wp core verify-checksums
wp plugin verify-checksums --all

Pokud se podezřelé soubory vrátí nebo zaznamenáš neobvyklou aktivitu, čištění nemuselo odstranit všechny útočníkovy změny. Vrať se ke kroku 2 ručního postupu a požádej hosting nebo bezpečnostního specialistu o další prověření.

Čistý plugin stáhni přímo ze svého účtu

Po příslušných krocích obnovy nainstaluj Rank Math PRO 3.0.124. Do prohlížeče zadej přímo rankmath.com, přihlas se ke svému účtu a v sekci se soubory ke stažení stáhni čistý balíček. Někteří uživatelé mohou před přihlášením potřebovat reset hesla k účtu.

Pokud potřebuješ určit správný postup nebo prověřit nejistý stav webu, otevři požadavek na podporu Rank Math nebo napiš na support@rankmath.com. Uveď verzi Rank Math PRO a kroky obnovy, které už máš hotové.

Co upravit v provozu webů

Důvěryhodný komerční dodavatel není zárukou, že se škodlivý kód nikdy nedostane do distribuovaného balíčku. U automatických aktualizací placených pluginů proto počítej s oběma stranami: rychle doručí opravy, ale mohou stejně rychle nasadit i kompromitovaný balíček.

• Udržuj zálohy mimo server webu a dostatečně dlouhou historii. Potřebuješ se umět vrátit před začátek incidentu, ne jen k poslední kopii.
• Sleduj a podle možností omez odchozí spojení webového serveru. Kontrola komunikace doplňuje kontrolu souborů.
• Ověřuj kontrolní součty. U pluginů bez dostupných součtů porovnávej soubory s čistými balíčky od výrobce.
• Prověř nastavení automatických aktualizací placených pluginů s ohledem na zálohy a možnosti následné kontroly webu.
• Nestahuj náhradu z neoficiálních webů ani z webů přeprodávajících GPL balíčky. Mohou dál nabízet kopie verze 3.0.123; čistý plugin získej ze svého účtu u výrobce.
• Při řešení incidentu neklikej automaticky na odkazy v e-mailech. Přihlášení a stažení řeš přímou návštěvou webu výrobce.

Teď ověř čas, kdy jsi balíček získal, a zda se na webu aktivoval. Pokud ano, zvol čistou zálohu nebo dodrž pořadí ručního čištění, vyměň přístupové údaje a několik dalších dnů kontroluj, jestli se škodlivé soubory nebo komunikace nevracejí.