---
title: "Rank Math PRO 3.0.123 obsahoval malware: jak zkontrolovat a vyčistit web"
url: "https://helloblog.io/cs/rank-math-pro-3-0-123-malware-kontrola-a-obnova-webu/"
date: "2026-10-17"
modified: "2026-10-17"
author: "Jakub Dvořák"
language: "cs_CZ"
categories: ["Bezpečnost"]
tags: ["malware", "Rank Math", "supply chain", "WordPress", "WP-CLI"]
featured_image: "https://helloblog.io/app/uploads/sites/11/2026/10/featured-1024x576.webp"
excerpt: "Část oficiálních balíčků Rank Math PRO 3.0.123 obsahovala malware. Samotná aktualizace nestačí: rozhoduje, kdy jsi balíček získal a jestli se plugin na webu aktivoval."
---

# Rank Math PRO 3.0.123 obsahoval malware: jak zkontrolovat a vyčistit web

Pokud jsi mezi 15. a 16. říjnem 2026 instaloval nebo aktualizoval Rank Math PRO, zkontroluj nejen verzi, ale i čas, kdy jsi balíček získal. Část oficiálních balíčků verze **3.0.123 obsahovala malware**, který se spustil při aktivaci pluginu. Čistá verze **3.0.124** už škodlivý kód neobsahuje, ale neodstraní zadní vrátka, účty ani naplánované úlohy, které malware mezitím vytvořil jinde.

## Co se stalo a které balíčky jsou zasažené

Útok zasáhl dodavatelský řetězec: malware se dostal přímo do oficiálního instalačního a aktualizačního balíčku pluginu. Nešlo tedy o běžnou chybu v kódu, kterou by útočník následně zneužil. Incident má označení **CVE-2026-111862** a skóre závažnosti CVSS **9,8 – kritická**; záznam jej klasifikuje jako vložený škodlivý kód dostupný bez autentizace.

Zasažené kopie se distribuovaly od **15. října 2026 ve 20:02 UTC do 16. října 2026 v 07:12 UTC**, tedy přibližně 11 hodin. V českém letním čase jde o interval **15. října ve 22:02 až 16. října v 09:12 CEST**. Rank Math škodlivé balíčky odstranil a vydal čistou verzi 3.0.124.

**Samotné číslo verze 3.0.123 nákazu nedokazuje.** Rozhoduje, zda jsi získal některý ze zasažených balíčků v uvedeném intervalu. Rank Math eviduje účty, které tyto kopie stáhly, a jejich majitele upozorňuje; pokud ti oznámení přišlo, řeš odpovídající postup i tehdy, když už web používá jinou verzi.

Incident se týká placeného doplňku **Rank Math PRO**, jehož identifikátor je `seo-by-rank-math-pro`. Bezplatný plugin Rank Math oznámení mezi zasaženými produkty neuvádí. Způsob, jakým útočník balíčky pozměnil, Rank Math nezveřejnil.

## Nejdřív rozliš tři situace

V administraci WordPressu otevři **Pluginy** a ověř nainstalovanou verzi Rank Math PRO. Potom zjisti, kdy jsi instalační balíček získal a jestli se plugin aktivoval. Pro balíček ze zasaženého intervalu platí tyto tři postupy:

1. **Verzi 3.0.123 jsi nainstaloval a aktivoval:** považuj web za kompromitovaný a pokračuj obnovou ze zálohy nebo ručním čištěním.
2. **Verzi 3.0.123 jsi nainstaloval, ale nikdy neaktivoval:** smaž soubory zasaženého pluginu, ze svého účtu Rank Math stáhni čistou verzi 3.0.124 a nainstaluj ji. Preventivně spusť bezpečnostní kontrolu.
3. **Verzi 3.0.123 jsi pouze stáhl, ale nenainstaloval ani neaktivoval:** samotný tento incident neukazuje na kompromitaci webu. Pokud si nejsi jistý, zda se soubory na web dostaly nebo zda se plugin aktivoval, obrať se na podporu.

#### Aktualizace není totéž co vyčištění

Verze 3.0.124 nahradí soubory Rank Math PRO. Neodstraní ale soubory mimo plugin, cizí administrátorské účty ani cronové úlohy, které už malware vytvořil. U aktivované zasažené kopie proto samotnou aktualizací nekonči.

## Co mohl malware na webu udělat

Škodlivý kód se spouští při aktivaci pluginu a může útočníkovi zajistit trvalý přístup. Komunikuje s doménou `rank1cdn[.]com` a při návštěvách webu dokáže znovu vytvářet skrytá zadní vrátka. Právě proto při ručním čištění záleží na pořadí kroků.

Za potenciálně odhalené považuj přístupové údaje WordPressu, databáze, API klíče i další tajné údaje, které může přečíst proces webového serveru. Obnova souborů ani návrat databáze ze zálohy tyto údaje nezmění. Musíš je vyměnit samostatně.

## Varianta A: obnov web z čisté zálohy

Nejvhodnější cesta vede přes zálohu souborů i databáze z doby před začátkem incidentu. Hledej zálohu starší než **15. října 2026 ve 22:02 CEST**, tedy 20:02 UTC. Stejný okamžik odpovídá 15. říjnu v 16:02 EDT a 16. říjnu v 01:32 IST.

1. **Obnov soubory webu i databázi** ze zálohy, která vznikla před uvedeným časem.
2. **Spusť bezpečnostní kontrolu** důvěryhodným nástrojem, například [Wordfence](https://wordpress.org/plugins/wordfence/) nebo [Sucuri](https://wordpress.org/plugins/sucuri-scanner/).
3. **Vyměň všechna hesla a další přístupové údaje.** Počítej s tím, že tajné údaje dostupné napadenému webu mohly uniknout. Konkrétní seznam najdeš níže.
4. **Nainstaluj čistý Rank Math PRO 3.0.124**, který stáhneš ze svého účtu Rank Math.

Pokud si s obnovou zálohy nejsi jistý, požádej o pomoc hosting. Ani po návratu k čisté záloze nevynechávej výměnu přístupových údajů a následné kontroly webu.

## Varianta B: vyčisti web ručně v přesném pořadí

Bez použitelné čisté zálohy musíš odstranit malware a dohledat další změny, které útočník provedl. Nejdřív zastav mechanismus, který zadní vrátka obnovuje, a teprve potom maž jeho další soubory. Jinak je může příští návštěva webu vytvořit znovu.

#### Kdy přizvat pomoc

Pokud běžně nepracuješ se soubory webu, databází a nastavením serveru, svěř ruční čištění hostingu nebo bezpečnostnímu specialistovi. Útočníkovy změny nemusí končit v adresáři WordPressu.

### 1. Zastav obnovování škodlivého kódu

Než začneš hledat další zadní vrátka, dokonči všechny následující kroky. Pouhá deaktivace Rank Math PRO nestačí.

1. **Smaž celou složku pluginu `rank-math-pro`.** Použij správce souborů hostingu nebo FTP.
2. **Odstraň škodlivé záznamy z databáze.** Například v phpMyAdmin otevři tabulku `wp_options` a smaž nalezené řádky, jejichž `option_name` odpovídá hodnotám `_uf6qdn2hmm`, `t8krdk990phb` nebo `_np5pvf754c`. Pokud instalace používá jiný prefix tabulek, pracuj s její odpovídající tabulkou options.
3. **Pokud to hosting nebo firewall umožňuje, zablokuj odchozí spojení na `rank1cdn.com`.**

### 2. Najdi další soubory, účty a změny na serveru

Útočník mohl zanechat více nezávislých cest zpět. Projdi proto všechny následující oblasti, i když už jsi jeden škodlivý soubor našel a odstranil.

#### Skrytá zadní vrátka v PHP

Podezřelé PHP soubory hledej zejména na následujících místech. S prohledáním a odstraněním škodlivých souborů ti může pomoci bezpečnostní plugin nebo hosting.

- `wp-content/mu-plugins/`
- Adresáře ostatních pluginů.
- Adresáře `inc/`, `includes/` a `lib/` u šablon, které nepatří mezi výchozí šablony WordPressu.
- Adresář `includes/` pluginu Rank Math.

V kódu hledej `base64_decode` v kombinaci se smyčkami XOR, klíč `xmmqhn`, volání `proc_open` a kód pracující se sockety PHP-FPM. Jde o stopy, které je potřeba posoudit v kontextu konkrétního souboru, ne o důvod bez kontroly smazat každý výskyt těchto funkcí.

#### Neznámí administrátoři

Prohlédni všechny účty s rolí administrátora. Zaměř se na neznámá jména začínající `wpsupport_` s náhodnými znaky za podtržítkem a na adresy končící `@wp-mail[.]net`. Účty, u kterých potvrdíš škodlivý nebo neoprávněný původ, odstraň.

```
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
```

#### Podvržený soubor WordPress core

Soubor `wp-includes/class-wp-cache-util.php` **není legitimní součást WordPress core**. Pokud existuje, odstraň ho a ověř kontrolní součty core. Potom přeinstaluj soubory WordPress core z oficiálního zdroje, aby na webu nezůstaly jiné pozměněné soubory.

```
wp core verify-checksums
```

#### Pravidla .htaccess a soubory .cache

Zkontroluj `.htaccess` v kořenovém adresáři webu i v podadresářích. Hledej pravidla, která dovolují spouštět soubory `.cache` jako PHP. Na serveru zároveň vyhledej soubory `.cache` s PHP kódem a podezřelé nálezy prozkoumej.

#### Systémový cron a události WordPressu

V systémovém crontabu uživatele, pod kterým běží webový server, hledej úlohy označené `#ms6v46`. Samostatně projdi události naplánované ve WordPressu. Škodlivé úlohy po ověření odstraň.

```
wp cron event list
```

#### Ostatní pluginy, šablony a nahrané soubory

- Přeinstaluj pluginy a šablony z jejich oficiálních zdrojů. Kde to jde, porovnej stávající soubory s čistými kopiemi.
- V adresáři `uploads/` hledej PHP soubory, které tam zpravidla nemají co dělat.
- Nečekané nebo pozměněné soubory nejdřív prozkoumej a až potom rozhodni o jejich odstranění.

#### Prostředí mimo adresář webu

Kontrola samotného WordPressu nemusí odhalit všechny změny. Prověř i následující části serveru; na sdíleném hostingu požádej poskytovatele, aby zkontroloval oblasti, ke kterým nemáš přístup.

- Soubory SSH `authorized_keys`.
- Crontaby ostatních systémových uživatelů.
- Běžící procesy.
- Místa mimo adresář webu, do kterých může zapisovat uživatel webového serveru.

## Přehled indikátorů a rychlá kontrola přes WP-CLI

Indikátory kompromitace jsou konkrétní stopy, podle kterých můžeš dohledat aktivitu malwaru. Následující přehled se hodí při kontrole více webů, nenahrazuje ale celý postup obnovy a čištění.

- **Komunikace:** doména `rank1cdn[.]com`.
- **Databáze:** hodnoty `option_name` `_uf6qdn2hmm`, `t8krdk990phb` a `_np5pvf754c`.
- **PHP kód:** klíč `xmmqhn`, `base64_decode` společně se smyčkami XOR, `proc_open` a kód pro sockety PHP-FPM.
- **Účty:** přihlašovací jména `wpsupport_…` a e-maily na doméně `wp-mail[.]net`.
- **Podvržený soubor:** `wp-includes/class-wp-cache-util.php`.
- **Cron:** značka `#ms6v46` v systémovém crontabu.
- **Pravidla a soubory:** `.htaccess` dovolující spouštět `.cache` jako PHP a soubory `.cache` obsahující PHP.

Pro rychlou orientaci můžeš použít WP-CLI, tedy nástroj pro správu WordPressu z příkazové řádky, a několik shellových příkazů. Ukázka nic nemaže a netvoří automatický čisticí skript. U systémového cronu nahraď `www-data`, pokud webový server běží pod jiným uživatelem; kontrola cizího crontabu může vyžadovat vyšší oprávnění.

```
# Nainstalovaná verze PRO doplňku.
wp plugin get seo-by-rank-math-pro --field=version

# Známé škodlivé položky v options.
wp option get _uf6qdn2hmm
wp option get t8krdk990phb
wp option get _np5pvf754c

# Administrátoři a naplánované události WordPressu.
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
wp cron event list

# Kontrola core a známého podvrženého souboru.
wp core verify-checksums
ls -la wp-includes/class-wp-cache-util.php

# Systémový cron: uprav uživatele podle svého serveru.
crontab -l -u www-data | grep 'ms6v46'

# Výskyty známého klíče v obsahu webu.
grep -RIn -- 'xmmqhn' wp-content/
```

#### Čistý výsledek jednoho testu nestačí

Chybějící položka v options nebo nenalezený řetězec neověří celý web. Stejně tak úspěšná kontrola WordPress core neprověří databázi, administrátorské účty, všechny pluginy ani systémový cron.

## 3. Vyměň hesla, klíče a další přístupové údaje

Po odstranění škodlivého kódu nahraď tajné údaje novými bezpečnými hodnotami. Tento krok je nezbytný **i při obnově z čisté zálohy**. Vycházej z předpokladu, že útočník mohl přečíst vše, co bylo dostupné kompromitovanému webu.

- **Všechna relevantní hesla:** změň hesla účtů WordPressu a další přístupové údaje, ke kterým měl napadený web přístup.
- **Databáze:** změň databázové uživatelské jméno i heslo a uprav odpovídající hodnoty v `wp-config.php`.
- **Bezpečnostní klíče a soli WordPressu:** vygeneruj nové hodnoty klíčů a solí v `wp-config.php`.
- **API a připojené služby:** nahraď klíče platebních bran, přístupové údaje SMTP, API klíče a další tajné údaje uložené v nastavení webu nebo konfiguračních souborech.
- **Hosting a server:** změň přístupy do ovládacího panelu hostingu, FTP/SFTP a SSH. Prověř také tajné údaje v proměnných prostředí.
- **Dvoufaktorové ověřování:** zkontroluj nastavení administrátorských účtů a tam, kde je to potřeba, ho resetuj.

Nové údaje doplň všude, kde je web a připojené služby potřebují. Pokud nedokážeš určit celý rozsah dostupných tajných údajů, projdi ho s hostingem nebo bezpečnostním specialistou.

## 4. Ověř výsledek a sleduj, jestli se nákaza nevrací

Po dokončení čištění prověř web více nezávislými kontrolami. Důležitý je také jeho stav během dalších dnů, protože návrat smazaných souborů může odhalit přehlédnutý mechanismus obnovy malwaru.

1. Spusť bezpečnostní kontrolu důvěryhodným nástrojem, například Wordfence nebo Sucuri.
2. Ověř kontrolní součty souborů WordPress core příkazem `wp core verify-checksums`.
3. Ověř soubory pluginů příkazem `wp plugin verify-checksums --all`. Kontrolní součty nejsou dostupné pro každý plugin, zejména u placených pluginů. V takovém případě soubory porovnej s čistou kopií z oficiálního zdroje.
4. V následujících dnech sleduj odchozí spojení a další podezřelou aktivitu.
5. Kontroluj, zda se soubory, které jsi odstranil, znovu neobjevují.

```
wp core verify-checksums
wp plugin verify-checksums --all
```

Pokud se podezřelé soubory vrátí nebo zaznamenáš neobvyklou aktivitu, čištění nemuselo odstranit všechny útočníkovy změny. Vrať se ke kroku 2 ručního postupu a požádej hosting nebo bezpečnostního specialistu o další prověření.

## Čistý plugin stáhni přímo ze svého účtu

Po příslušných krocích obnovy nainstaluj **Rank Math PRO 3.0.124**. Do prohlížeče zadej přímo `rankmath.com`, přihlas se ke svému účtu a v sekci se soubory ke stažení stáhni čistý balíček. Někteří uživatelé mohou před přihlášením potřebovat reset hesla k účtu.

#### Pozor na e-maily zneužívající incident

Rank Math neposílá e-mailem odkazy pro přihlášení ani stažení pluginu. Nevyžádané zprávy, které tě vybízejí ke kliknutí na odkaz pro reset hesla nebo stažení, považuj za podezřelé. Na web výrobce přejdi přímo.

Pokud potřebuješ určit správný postup nebo prověřit nejistý stav webu, otevři [požadavek na podporu Rank Math](https://rankmath.com/support/) nebo napiš na `support@rankmath.com`. Uveď verzi Rank Math PRO a kroky obnovy, které už máš hotové.

## Co upravit v provozu webů

Důvěryhodný komerční dodavatel není zárukou, že se škodlivý kód nikdy nedostane do distribuovaného balíčku. U automatických aktualizací placených pluginů proto počítej s oběma stranami: rychle doručí opravy, ale mohou stejně rychle nasadit i kompromitovaný balíček.

- **Udržuj zálohy mimo server webu a dostatečně dlouhou historii.** Potřebuješ se umět vrátit před začátek incidentu, ne jen k poslední kopii.
- **Sleduj a podle možností omez odchozí spojení webového serveru.** Kontrola komunikace doplňuje kontrolu souborů.
- **Ověřuj kontrolní součty.** U pluginů bez dostupných součtů porovnávej soubory s čistými balíčky od výrobce.
- **Prověř nastavení automatických aktualizací placených pluginů** s ohledem na zálohy a možnosti následné kontroly webu.
- **Nestahuj náhradu z neoficiálních webů ani z webů přeprodávajících GPL balíčky.** Mohou dál nabízet kopie verze 3.0.123; čistý plugin získej ze svého účtu u výrobce.
- **Při řešení incidentu neklikej automaticky na odkazy v e-mailech.** Přihlášení a stažení řeš přímou návštěvou webu výrobce.

Teď ověř čas, kdy jsi balíček získal, a zda se na webu aktivoval. Pokud ano, zvol čistou zálohu nebo dodrž pořadí ručního čištění, vyměň přístupové údaje a několik dalších dnů kontroluj, jestli se škodlivé soubory nebo komunikace nevracejí.

## Reference / Zdroje

- [Rank Math PRO 3.0.123 Security Incident: How to Secure Your Website](https://rankmath.com/kb/pro-3-0-123-security-incident/)
- [Rank Math SEO PRO 3.0.123 supply chain attack: malware in official update packages](https://www.wordfence.com/blog/2026/10/rank-math-seo-pro-3-0-123-malware/)
- [Rank Math SEO PRO 3.0.123 – Unauthenticated Embedded Malicious Code](https://www.wordfence.com/threat-intel/vulnerabilities/id/81cd7a2c-ad0c-4dbc-b5dc-07ec866d5c1f)