Rank Math PRO 3.0.123 tarneahelarünne: kuidas kontrollida ja puhastada oma saiti

Rank Math PRO versiooni 3.0.123 ametlike allalaadimis- ja uuenduspakettide hulka sattus pahavara. Juhtum puudutab koopiaid, mis laaditi alla 15. oktoobril 2026 kell 20.02 UTC kuni 16. oktoobril kell 7.12 UTC. Nakatunud plugina aktiveerimine võis anda ründajale ligipääsu saidile ja seal kättesaadavatele saladustele.

Rank Math eemaldas nakatunud failid ja avaldas puhta versiooni 3.0.124. Kui jõudsid pahavara aktiveerida, pead lisaks plugina asendamisele taastama või puhastama saidi, vahetama ligipääsuandmed ning kontrollima, kas ründaja jättis serverisse muid tagauksi.

Mis juhtus ja miks tavalisest uuendusest ei piisa?

Tegu oli tarneahelaründega: pahavara jõudis kasutajani tootja ametliku tarkvarapaketi kaudu. Probleem ei seisnenud tavapärases programmeerimisveas, mida ründaja eraldi ära kasutas, vaid paketis endas olnud pahatahtlikus koodis. Rank Math pole avaldanud, kuidas ründaja pakette muutis.

Juhtumi tunnus on CVE-2026-111862. Turvanõrkuste raskust hindava CVSS-skaala järgi on selle skoor 9,8 ehk kriitiline. Wordfence Intelligence liigitab juhtumi autentimata kasutajale kättesaadavaks sisseehitatud pahatahtlikuks koodiks; plugina tunnus on seo-by-rank-math-pro.

Pahavara käivitub plugina aktiveerimisel, suhtleb domeeniga rank1cdn[.]com ja võib luua püsiva ligipääsu. Saidi külastused võivad peidetud tagauksed uuesti tekitada. Ohus on WordPressi ligipääsuandmed, andmebaasi kasutajatunnused ja paroolid, API-võtmed ning muud saladused, mida veebiserver saab lugeda.

Kas sinu sait on mõjutatud?

Kontrolli WordPressi haldusliidese jaotises Pluginad, milline Rank Math PRO versioon on paigaldatud. Pelgalt versiooninumber 3.0.123 ei tõenda nakatumist: pahavara sisaldas ainult osa ligikaudu 11-tunnise ajavahemiku jooksul väljastatud pakette. Kesk-Euroopa suveajas kestis see vahemik 15. oktoobril kella 22.02-st kuni 16. oktoobril kella 9.12-ni.

Juhtum puudutab PRO-lisapluginat. Tasuta Rank Mathi pluginat pole mõjutatud tootena nimetatud. Rank Mathil on andmed selle kohta, kes nakatunud paketi alla laadis, ning ettevõte teavitab neid kasutajaid.

1. Paigaldasid ja aktiveerisid mõjutatud ajavahemikul saadud versiooni 3.0.123. Käsitle saiti kompromiteerituna ning vali allpool kirjeldatud taastamine või käsitsi puhastus.
2. Paigaldasid mõjutatud versiooni 3.0.123, kuid ei aktiveerinud seda kordagi. Kustuta nakatunud plugina failid, paigalda oma Rank Mathi kontolt puhas versioon 3.0.124 ning käivita ettevaatusabinõuna turvakontroll.
3. Laadisid versiooni 3.0.123 alla, kuid ei paigaldanud ega aktiveerinud seda. Ainuüksi selle juhtumi põhjal pole märki, et sait oleks kompromiteeritud. Kui pole selge, kas failid siiski paigaldati või aktiveeriti, küsi abi Rank Mathi kasutajatoelt.

Kui said Rank Mathilt juhtumi kohta teate, järgi oma olukorrale vastavaid samme ka siis, kui saidil töötab praegu mõni teine versioon. Praegune versiooninumber ei näita, kas pahavara jõudis varem käivituda.

Kiirkontroll käsurealt

WP-CLI ehk WordPressi käsureatööriist aitab kontrollida versiooni, kasutajaid, andmebaasikirjeid ja ajastatud ülesandeid. Järgmised käsud koguvad esmaseid leide ega puhasta saiti. Käivita WordPressi käsud oma paigalduse kataloogis; süsteemse crontab’i vaatamiseks vajad sobivaid serveriõigusi.

# Kontrolli PRO-plugina versiooni.
wp plugin get seo-by-rank-math-pro --field=version

# Otsi juhtumiga seotud andmebaasikirjeid.
wp option get _uf6qdn2hmm
wp option get t8krdk990phb
wp option get _np5pvf754c

# Vaata administraatoreid ja kontode loomise aega.
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

# Kontrolli WordPressi core'i faile ja ajastatud sündmusi.
wp core verify-checksums
wp cron event list

# Kontrolli võltsitud core'i faili olemasolu.
ls -la wp-includes/class-wp-cache-util.php

# Kasuta www-data asemel oma veebiserveri tegelikku kasutajat.
crontab -l -u www-data | grep 'ms6v46'

# Otsi juhtumiga seotud võtit PHP-failidest.
grep -RIn --include='*.php' 'xmmqhn' wp-content/

# Kontrolli PRO-plugina versiooni.
wp plugin get seo-by-rank-math-pro --field=version

# Otsi juhtumiga seotud andmebaasikirjeid.
wp option get _uf6qdn2hmm
wp option get t8krdk990phb
wp option get _np5pvf754c

# Vaata administraatoreid ja kontode loomise aega.
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

# Kontrolli WordPressi core'i faile ja ajastatud sündmusi.
wp core verify-checksums
wp cron event list

# Kontrolli võltsitud core'i faili olemasolu.
ls -la wp-includes/class-wp-cache-util.php

# Kasuta www-data asemel oma veebiserveri tegelikku kasutajat.
crontab -l -u www-data | grep 'ms6v46'

# Otsi juhtumiga seotud võtit PHP-failidest.
grep -RIn --include='*.php' 'xmmqhn' wp-content/

Esimene valik: taasta sait puhtast varukoopiast

Kui aktiveerisid nakatunud versiooni, eelista saidi ja andmebaasi taastamist enne juhtumi algust loodud puhtast varukoopiast. Sobiv koopia peab olema varasem kui 15. oktoober 2026 kell 20.02 UTC. Sama hetk oli 15. oktoobril kell 22.02 CEST ja 16.02 EDT ning 16. oktoobril kell 1.32 IST.

1. Taasta nii saidi failid kui ka andmebaas enne mõjutatud ajavahemikku loodud puhtast varukoopiast.
2. Käivita turvakontroll usaldusväärse tööriistaga, näiteks Wordfence’iga või Sucuriga.
3. Vaheta kõik paroolid ja muud ligipääsuandmed. Eelda, et saidile kättesaadavad saladused võisid lekkida. Täieliku kontroll-loendi leiad allpool ligipääsuandmete jaotisest.
4. Paigalda puhas Rank Math PRO 3.0.124. Laadi pakett alla oma Rank Mathi kontolt ja paigalda see taastatud saidile.

Kui sa ei tea, kuidas varukoopiat taastada, palu abi oma majutusteenuse pakkujalt. Arvesta ka võimalusega, et ründaja muutis faile või seadeid väljaspool WordPressi kataloogi: neid kohti tuleb eraldi kontrollida.

Teine valik: puhasta sait käsitsi

Kui puhast varukoopiat pole võimalik taastada, pead eemaldama pahavara ning kontrollima ründaja muid muudatusi. Järjekord loeb: enne peidetud failide kustutamist tuleb peatada mehhanism, mis võib need iga külastuse järel tagasi luua.

1. Peata pahavara taastav mehhanism

Tee kõik järgmised toimingud enne teiste tagauksefailide eemaldamist. Ainult plugina väljalülitamisest ei piisa.

1. Kustuta kogu Rank Math PRO kaust rank-math-pro. Leia see majutuse failihalduri või FTP abil ja eemalda koos kõigi failidega.
2. Eemalda pahatahtlikud andmebaasikirjed. Ava WordPressi andmebaas näiteks phpMyAdminis ning otsi tabelist wp_options kirjeid, mille option_name on _uf6qdn2hmm, t8krdk990phb või _np5pvf754c. Kustuta leitud kirjed. Kui paigaldus kasutab muud tabeliprefiksit, vaata vastavat options-tabelit.
3. Blokeeri võimaluse korral ühendused pahatahtliku domeeniga. Keela majutuse või tulemüüri seadetes serverist väljuvad ühendused domeenile rank1cdn.com.

2. Otsi tagauksi ja muid ründaja muudatusi

Ründaja võis jätta maha täiendavaid faile, kontosid ja serveritaseme muudatusi. Vaata läbi kõik järgmised kohad, mitte ainult Rank Math PRO kataloog.

Peidetud PHP-tagauksed

• wp-content/mu-plugins/ ehk automaatselt laaditavate pluginatega kataloog.
• Teiste pluginatega kataloogid.
• Mittevaiketeemade kaustad inc/, includes/ ja lib/.
• Rank Mathi kaust includes/.

Otsi PHP-koodi, kus base64_decode esineb koos XOR-tsüklitega, samuti võtit xmmqhn, funktsiooni proc_open või PHP-FPM-i soklitega suhtlevat koodi. PHP-FPM haldab serveris PHP-protsesse ning sokkel on üks viis nendega suhelda. Need tunnused aitavad kahtlaseid faile leida; faili pahatahtlikkust tuleb hinnata selle sisu ja päritolu järgi.

Turvaplugin või majutusteenuse pakkuja saab aidata neid tunnuseid otsida ja pahatahtlikud failid eemaldada. Ära piirdu ühe leitud tagaukse kustutamisega.

Tundmatud administraatorid

Vaata läbi kõik WordPressi administraatoriõigustega kasutajad. Kahtlased tunnused on kasutajanimi, mis algab wpsupport_ ja jätkub juhuslike märkidega, ning e-posti aadress lõpuga @wp-mail[.]net. Eemalda kontod, mille puhul kinnitad, et need on pahatahtlikud või loata loodud.

wp user list --role=administrator

wp user list --role=administrator

Võltsitud WordPressi core’i fail

Fail wp-includes/class-wp-cache-util.php ei kuulu WordPressi core’i. Kui leiad selle, eemalda fail ja kontrolli core’i kontrollsummasid ehk failide terviklust kirjeldavaid väärtusi.

wp core verify-checksums

wp core verify-checksums

Paigalda WordPressi core’i failid ametlikust allikast uuesti, et asendada ka muud võimalikud muudetud core’i failid. Ühe võltsfaili puudumine ei kinnita ülejäänud failide puhtust.

Failid .htaccess ja .cache

Kontrolli saidi juurkataloogi ja alamkataloogide .htaccess-faile. Otsi reegleid, mis lubavad käivitada .cache-laiendiga faile PHP-koodina. Otsi serverist ka PHP-koodi sisaldavaid .cache-faile ning uuri kahtlasi leide.

WordPressi ja süsteemi ajastatud ülesanded

Vaata veebiserveri kasutaja süsteemset crontab’i ehk ajastatud käskude loendit ning otsi märkega #ms6v46 kirjeid. Kontrolli eraldi WordPressi ajastatud sündmusi. Uuri kahtlasi ülesandeid ja eemalda pahatahtlikud kirjed.

# Vajadusel asenda www-data veebiserveri kasutajanimega.
crontab -l -u www-data

# WordPressi enda ajastatud sündmused.
wp cron event list

# Vajadusel asenda www-data veebiserveri kasutajanimega.
crontab -l -u www-data

# WordPressi enda ajastatud sündmused.
wp cron event list

Muud pluginad, teemad ja üleslaaditud failid

• Paigalda pluginad ja teemad nende ametlikest allikatest uuesti. Võimaluse korral võrdle olemasolevaid faile puhaste koopiatega.
• Otsi kataloogist uploads/ PHP-faile: üldjuhul ei peaks need seal olema.
• Uuri ootamatuid või muudetud faile enne, kui need eemaldad.

WordPressist väljapoole jääv serverikeskkond

Ründaja muudatused võivad ulatuda saidi kataloogist kaugemale. Kontrolli ka järgmisi kohti ja serveri olekut.

• SSH-ligipääsu lubavad authorized_keys-failid.
• Teiste süsteemikasutajate crontab’id.
• Serveris töötavad protsessid.
• Saidi kataloogist väljapoole jäävad asukohad, kuhu veebiserveri kasutaja saab kirjutada.

Kui kasutad jagatud majutust ega pääse nendele aladele ligi, palu majutusteenuse pakkujal need üle kontrollida. Ainult WordPressi failide läbivaatamine ei kata serveritaseme muudatusi.

3. Vaheta kõik paroolid ja ligipääsuandmed

Eelda ettevaatusabinõuna, et kõik kompromiteeritud saidile kättesaadavad ligipääsuandmed ja saladused võisid lekkida. Asenda need uute turvaliste väärtustega. Seda pead tegema ka siis, kui taastasid saidi puhtast varukoopiast.

• Kõik asjakohased paroolid. Vaheta WordPressi kontode paroolid ning muud paroolid, millele kompromiteeritud sait ligi pääses.
• Andmebaasi ligipääsuandmed. Uuenda failis wp-config.php määratud andmebaasi kasutajanimi ja parool ning vastavad andmed andmebaasiserveris.
• WordPressi turvavõtmed ja soolad. Genereeri failis wp-config.php kasutatavad võtmed ja soolad uuesti. Need väärtused kaitsevad muu hulgas autentimisandmeid.
• API-võtmed ja teenuste ligipääsuandmed. Asenda makselahenduste võtmed, SMTP ehk meiliedastuse ligipääsuandmed, muud API-võtmed ning saidi seadetes või konfiguratsioonifailides hoitud saladused.
• Majutuse ja serveri ligipääs. Vaheta majutuse juhtpaneeli, FTP/SFTP ja SSH paroolid või muud autentimisandmed. Vaata üle ka keskkonnamuutujates hoitud saladused.
• Kaheastmeline autentimine. Kontrolli administraatorikontode kaheastmelist autentimist ning lähtesta see seal, kus vaja.

Uuenda uued väärtused kõikjal, kus sait või ühendatud teenused neid kasutavad. Kui pole selge, millistele saladustele sait ligi pääses, lase majutajal või turvaspetsialistil need koos sinuga üle vaadata.

4. Kontrolli, kas sait jäi puhtaks

Pärast puhastust tuleb kontrollida nii faile kui ka saidi edasist käitumist. Üks turvaskann ei asenda järgnevat jälgimist.

1. Käivita usaldusväärse tööriistaga, näiteks Wordfence’i või Sucuriga, uus turvakontroll.
2. Kontrolli WordPressi core’i faile käsuga wp core verify-checksums.
3. Kontrolli paigaldatud pluginatega faile käsuga wp plugin verify-checksums --all. Kõigi pluginatega, eriti tasulistega, pole kontrollsummad kättesaadavad. Sel juhul võrdle faile ametlikust allikast saadud puhta koopiaga.
4. Jälgi järgmistel päevadel serverist väljuvaid ühendusi ja muud kahtlast tegevust.
5. Kontrolli, kas mõni eemaldatud fail tekib uuesti.

wp core verify-checksums
wp plugin verify-checksums --all

wp core verify-checksums
wp plugin verify-checksums --all

Kui kahtlased failid ilmuvad tagasi või märkad ebatavalist tegevust, võib puhastus olla pooleli. Mine tagasi käsitsi puhastuse teise sammu juurde ning palu majutajal või turvaspetsialistil olukorda põhjalikumalt uurida.

Paigalda puhas Rank Math PRO turvalisest kohast

Kui oled oma olukorrale vastavad taastetööd lõpetanud, paigalda Rank Math PRO 3.0.124. Ava brauseris ise rankmath.com, logi oma kontole sisse ja laadi uuendatud plugin alla konto allalaadimiste jaotisest. Kui kontole sisenemine ei õnnestu, võib olla vaja parool lähtestada.

Mitteametlikud ja GPL-i alusel pluginaid edasi jagavad saidid võivad endiselt pakkuda versiooni 3.0.123 koopiaid. Laadi puhas pakett alati alla tootja juures olevalt kontolt.

Mida oma uuendus- ja varundusprotsessis üle vaadata?

Tarneahelarünne võib tabada ka usaldatud tasulise tarkvara tootjat. Ametlik allalaadimiskoht vähendab mitteametlike koopiatega seotud riske, kuid ei välista tootja tarneahela kompromiteerimist.

• Kaalu tasuliste pluginatega automaatuuenduste mõlemat külge. Need toovad parandused kiiresti saidile, kuid võivad sama kiiresti paigaldada ka kompromiteeritud paketi. Vaata üle, kuidas oma saitide uuendusi kontrollid.
• Hoia varukoopiaid väljaspool veebiserverit ja säilita piisavalt vanu koopiaid. Taasteks peab alles olema ka juhtumieelsest ajast pärit puhas failide ja andmebaasi koopia.
• Jälgi ja piira veebiserverist väljuvaid ühendusi. Selles juhtumis on konkreetne kontrollitav sihtkoht rank1cdn[.]com.
• Kasuta kontrollsummasid ja puhaste koopiatega võrdlust. Kontrolli WordPressi core’i ning neid pluginaid, mille kontrollsummad on saadaval; teiste puhul kasuta ametlikku puhast paketti.
• Arvesta juhtumit matkivate õngitsuskirjadega. Ära sisesta kontoandmeid ega laadi pluginat alla ootamatu e-kirja lingi kaudu.

Kust taastetöödeks abi saada?

Kui vajad abi mõjutatuse või sobivate taastetööde kindlakstegemisel, kirjuta aadressile support@rankmath.com või ava Rank Mathi tugipilet. Lisa oma PRO-plugina versioon ja juba tehtud taastetööde loend, et kasutajatugi saaks olukorda hinnata.

Alusta allalaadimisaja ja aktiveerimise kontrollist. Kui nakatunud pakett oli aktiivne, vali puhtast varukoopiast taastamine või tee käsitsi puhastus etteantud järjekorras; seejärel vaheta ligipääsuandmed ja jälgi saiti ka järgnevatel päevadel.