{"id":257,"date":"2026-10-17T11:03:32","date_gmt":"2026-10-17T09:03:32","guid":{"rendered":"https:\/\/helloblog.io\/fi\/rank-math-pro-3-0-123-haittaohjelma-tarkista-ja-puhdista-sivustosi\/"},"modified":"2026-10-17T11:03:32","modified_gmt":"2026-10-17T09:03:32","slug":"rank-math-pro-3-0-123-haittaohjelma-tarkista-ja-puhdista-sivustosi","status":"publish","type":"post","link":"https:\/\/helloblog.io\/fi\/rank-math-pro-3-0-123-haittaohjelma-tarkista-ja-puhdista-sivustosi\/","title":{"rendered":"Rank Math PRO 3.0.123:n jakelupaketeissa haittaohjelma \u2013 n\u00e4in tarkistat ja puhdistat sivustosi"},"content":{"rendered":"\n

Osaan Rank Math PRO 3.0.123:n virallisista lataus- ja p\u00e4ivityspaketeista p\u00e4\u00e4tyi haittaohjelma. Vaarantuneet paketit olivat jaossa 15.10.2026 kello 20.02 UTC \u2013 16.10.2026 kello 7.12 UTC eli noin 11 tunnin ajan. Suomen kes\u00e4ajassa aikav\u00e4li oli 15.10. kello 23.02 \u2013 16.10. kello 10.12.<\/p>\n\n\n\n

Jos asensit vaarantuneen paketin ja lis\u00e4osa aktivoitui, k\u00e4sittele sivustoa murrettuna.<\/strong> Puhdas versio 3.0.124 korvaa Rank Math PRO:n omat tiedostot, mutta se ei poista haittaohjelman muualle luomia tiedostoja, yll\u00e4pit\u00e4j\u00e4tilej\u00e4 tai ajastettuja teht\u00e4vi\u00e4.<\/p>\n\n\n\n

Mit\u00e4 virallisissa p\u00e4ivityspaketeissa tapahtui?<\/h2>\n\n\n\n

Kyseess\u00e4 on toimitusketjuhy\u00f6kk\u00e4ys: haitallinen koodi tuli sivustolle luotetun ohjelmistotoimittajan jakelupaketissa, ei tavallisen ohjelmointivirheen kautta. Rank Math poisti vaarantuneet paketit ja julkaisi puhtaan version 3.0.124. Yhti\u00f6 ei ole kertonut, miten hy\u00f6kk\u00e4\u00e4j\u00e4 muutti paketteja.<\/p>\n\n\n\n

Tapaus koskee maksullista PRO-lis\u00e4osaa, jonka tunniste on seo-by-rank-math-pro<\/code>. Maksutonta Rank Math -lis\u00e4osaa ei ole ilmoitettu vaarantuneeksi t\u00e4ss\u00e4 tapauksessa. Pelkk\u00e4 versionumero 3.0.123 ei my\u00f6sk\u00e4\u00e4n todista tartuntaa: vain osa kyseisen version paketeista sis\u00e4lsi haittaohjelman, ja ne jaettiin rajatun aikav\u00e4lin aikana.<\/p>\n\n\n\n

Tapauksen CVE-tunniste eli julkinen haavoittuvuustunniste on CVE-2026-111862<\/strong>. CVSS-vakavuuspisteytyksess\u00e4 se saa arvon 9,8 eli kriittinen<\/strong>. Luokitus kuvaa pakettiin upotettua haitallista koodia, jota hy\u00f6kk\u00e4\u00e4j\u00e4 voi hy\u00f6dynt\u00e4\u00e4 ilman kirjautumista.<\/p>\n\n\n\n

Haittaohjelma k\u00e4ynnistyy, kun lis\u00e4osa aktivoituu. Se ottaa yhteytt\u00e4 verkkotunnukseen rank1cdn[.]com<\/code>, voi j\u00e4tt\u00e4\u00e4 hy\u00f6kk\u00e4\u00e4j\u00e4lle pysyv\u00e4n p\u00e4\u00e4syn ja pystyy luomaan piilotettuja takaovia uudelleen sivuvierailujen yhteydess\u00e4. Vaarassa ovat WordPress-tunnukset, tietokantatunnukset, API-avaimet ja muut salaisuudet, joita verkkopalvelimen k\u00e4ytt\u00e4j\u00e4 voi lukea. API-avain on tunniste, jolla sivusto k\u00e4ytt\u00e4\u00e4 ulkoisen palvelun ohjelmointirajapintaa.<\/p>\n\n\n\n

Tarkista ensin, mihin kolmesta tilanteesta sivustosi kuuluu<\/h2>\n\n\n\n

Avaa WordPressin hallinnasta Lis\u00e4osat<\/strong> ja tarkista Rank Math PRO:n versio. Selvit\u00e4 lis\u00e4ksi, milloin latasit tai p\u00e4ivitit paketin ja aktivoituiko se. Keski-Euroopan kes\u00e4ajassa vaarallinen jakso oli 15.10.2026 kello 22.02 \u2013 16.10.2026 kello 9.12 CEST.<\/p>\n\n\n\n

    \n\n
  1. Asensit vaarantuneen 3.0.123-paketin ja lis\u00e4osa aktivoitui:<\/strong> k\u00e4sittele sivustoa murrettuna. Palauta puhdas varmuuskopio tai k\u00e4y l\u00e4pi kaikki manuaalisen puhdistuksen vaiheet.<\/li>\n\n\n
  2. Asensit vaarantuneen 3.0.123-paketin mutta et koskaan aktivoinut sit\u00e4:<\/strong> poista kyseiset lis\u00e4osatiedostot, asenna puhdas 3.0.124 omalta Rank Math -tililt\u00e4si ja aja varmuuden vuoksi tietoturvatarkistus.<\/li>\n\n\n
  3. Latasit 3.0.123-paketin mutta et asentanut etk\u00e4 aktivoinut sit\u00e4:<\/strong> pelkk\u00e4 lataus ei t\u00e4m\u00e4n tapauksen perusteella osoita sivustomurtoa. \u00c4l\u00e4 asenna vaarantunutta pakettia. Jos et tied\u00e4, p\u00e4\u00e4tyiv\u00e4tk\u00f6 tiedostot sivustolle tai aktivoituiko lis\u00e4osa, pyyd\u00e4 apua Rank Mathin tuesta<\/a>.<\/li>\n\n<\/ol>\n\n\n\n

    Rank Mathilla on tiedot siit\u00e4, ketk\u00e4 latasivat vaarantuneet paketit kyseisen\u00e4 aikana, ja se ilmoittaa asiasta heille. Jos sait ilmoituksen, noudata tilanteeseesi sopivia palautusohjeita, vaikka sivustollasi olisi jo jokin toinen versio. Nykyinen versionumero ei kerro, mit\u00e4 aiemmin aktivoitu haittaohjelma ehti tehd\u00e4.<\/p>\n\n\n\n

    Vaihtoehto 1: palauta sivusto puhtaasta varmuuskopiosta<\/h2>\n\n\n\n

    Ensisijainen palautustapa on palauttaa sek\u00e4 sivuston tiedostot ett\u00e4 tietokanta varmuuskopiosta, joka valmistui ennen 15.10.2026 kello 20.02 UTC. Suomessa raja on 15.10. kello 23.02; sama hetki on 15.10. kello 22.02 CEST, 15.10. kello 16.02 EDT ja 16.10. kello 1.32 IST. Valitse varmasti puhdas kopio.<\/p>\n\n\n\n

      \n\n
    1. Palauta sivuston tiedostot ja tietokanta<\/strong> ennen vaarallisen jakson alkua otetusta varmuuskopiosta.<\/li>\n\n\n
    2. Aja tietoturvatarkistus<\/strong> luotettavalla ty\u00f6kalulla, kuten Wordfencell\u00e4<\/a> tai Sucurilla<\/a>.<\/li>\n\n\n
    3. Vaihda kaikki salasanat ja muut tunnistetiedot.<\/strong> Oleta sivuston salaisuuksien paljastuneen. K\u00e4y l\u00e4pi j\u00e4ljemp\u00e4n\u00e4 oleva erillinen tarkistuslista, joka kattaa my\u00f6s tietokantatunnukset ja API-avaimet.<\/li>\n\n\n
    4. Asenna puhdas Rank Math PRO 3.0.124<\/strong> omalta Rank Math -tililt\u00e4si, kun olet palauttanut sivuston.<\/li>\n\n<\/ol>\n\n\n\n

      Pyyd\u00e4 palveluntarjoajalta apua, jos et tied\u00e4, miten palautat varmuuskopion. Pelkk\u00e4 palautus ei tee vanhoista tunnuksista turvallisia eik\u00e4 sulje pois sit\u00e4, ett\u00e4 hy\u00f6kk\u00e4\u00e4j\u00e4 muutti palvelinta WordPress-hakemiston ulkopuolella.<\/p>\n\n\n\n

      Vaihtoehto 2: puhdista sivusto k\u00e4sin oikeassa j\u00e4rjestyksess\u00e4<\/h2>\n\n\n\n

      Jos puhdasta varmuuskopiota ei ole, poista haittaohjelma ja tarkista hy\u00f6kk\u00e4\u00e4j\u00e4n muut muutokset erikseen. Pyyd\u00e4 palveluntarjoaja tai tietoturva-asiantuntija avuksi, jos tiedostojen, tietokannan tai palvelinasetusten k\u00e4sittely ei kuulu osaamiseesi.<\/p>\n\n\n\n

      \n\n

      Katkaise ensin mekanismi, joka palauttaa takaoven<\/h4>\n\n\n

      Noudata vaiheiden j\u00e4rjestyst\u00e4. Haittaohjelma voi luoda piilotetun takaoven uudelleen aina, kun joku k\u00e4y sivustolla. Jos poistat vain n\u00e4kyv\u00e4t haittatiedostot mutta j\u00e4t\u00e4t niit\u00e4 palauttavan mekanismin toimintaan, sivusto ei v\u00e4ltt\u00e4m\u00e4tt\u00e4 puhdistu.<\/p>\n\n<\/div>\n\n\n\n

      1. Est\u00e4 haittaohjelmaa rakentamasta itse\u00e4\u00e4n uudelleen<\/h3>\n\n\n\n

      Tee kaikki seuraavat toimet ennen kuin alat poistaa muita takaovia. Pelkk\u00e4 Rank Math PRO:n poistaminen k\u00e4yt\u00f6st\u00e4 ei riit\u00e4.<\/p>\n\n\n\n

        \n\n
      1. Poista koko Rank Math PRO:n hakemisto.<\/strong> Etsi rank-math-pro<\/code> palveluntarjoajan tiedostonhallinnalla tai FTP-yhteydell\u00e4 ja poista hakemisto tiedostoineen.<\/li>\n\n\n
      2. Poista haitalliset tietokantamerkinn\u00e4t.<\/strong> Avaa WordPressin tietokanta esimerkiksi phpMyAdminilla. Etsi wp_options<\/code>-taulusta rivit, joiden option_name<\/code> on _uf6qdn2hmm<\/code>, t8krdk990phb<\/code> tai _np5pvf754c<\/code>, ja poista l\u00f6ytyv\u00e4t haitalliset rivit. Jos sivustosi k\u00e4ytt\u00e4\u00e4 muuta tauluetuliitett\u00e4 kuin wp_<\/code>, tarkista vastaava options-taulu.<\/li>\n\n\n
      3. Est\u00e4 l\u00e4htev\u00e4 yhteys haitalliseen verkkotunnukseen, jos mahdollista.<\/strong> Lis\u00e4\u00e4 rank1cdn.com<\/code> estolistalle palveluntarjoajan tai palomuurin avulla.<\/li>\n\n<\/ol>\n\n\n\n

        2. Etsi muut haitalliset tiedostot, tilit ja palvelinmuutokset<\/h3>\n\n\n\n

        Hy\u00f6kk\u00e4\u00e4j\u00e4 on voinut j\u00e4tt\u00e4\u00e4 j\u00e4lki\u00e4 sek\u00e4 WordPressiin ett\u00e4 palvelimelle sen ulkopuolelle. K\u00e4y jokainen seuraavista kohdista l\u00e4pi, vaikka ensimm\u00e4inen tietoturvatarkistus ei l\u00f6yt\u00e4isi mit\u00e4\u00e4n.<\/p>\n\n\n\n

        Piilotetut PHP-takaovet<\/h4>\n\n\n\n

        Tarkista ep\u00e4ilytt\u00e4v\u00e4t PHP-tiedostot seuraavista sijainneista. mu-plugins<\/code> sis\u00e4lt\u00e4\u00e4 WordPressin automaattisesti lataamat lis\u00e4osat, joten sen sis\u00e4lt\u00f6 kuuluu tarkistukseen.<\/p>\n\n\n\n

          \n\n
        • wp-content\/mu-plugins\/<\/code>.<\/li>\n\n\n
        • Muiden lis\u00e4osien hakemistot.<\/li>\n\n\n
        • Muiden kuin WordPressin oletusteemojen inc\/<\/code>-, includes\/<\/code>– ja lib\/<\/code>-hakemistot.<\/li>\n\n\n
        • Rank Mathin includes\/<\/code>-hakemisto.<\/li>\n\n<\/ul>\n\n\n\n

          Etsi PHP-koodia, jossa base64_decode<\/code> esiintyy yhdess\u00e4 XOR-silmukoiden kanssa. Tarkista my\u00f6s merkkijono xmmqhn<\/code>, prosesseja k\u00e4ynnist\u00e4v\u00e4 proc_open<\/code> sek\u00e4 PHP-FPM:n socket-yhteyksi\u00e4 k\u00e4sittelev\u00e4 koodi. PHP-FPM on PHP-prosesseja hallitseva palvelu; socket toimii t\u00e4ss\u00e4 paikallisena viestint\u00e4kanavana. Tietoturvalis\u00e4osa tai palveluntarjoaja voi auttaa n\u00e4iden merkkien etsinn\u00e4ss\u00e4 ja haittatiedostojen poistossa.<\/p>\n\n\n\n

          Tuntemattomat yll\u00e4pit\u00e4j\u00e4tilit<\/h4>\n\n\n\n

          Tarkista kaikki WordPress-k\u00e4ytt\u00e4j\u00e4t, joilla on yll\u00e4pit\u00e4j\u00e4n oikeudet. Erityisi\u00e4 varoitusmerkkej\u00e4 ovat tunnukset, joiden alussa on wpsupport_<\/code> ja lopussa satunnaisia merkkej\u00e4, sek\u00e4 s\u00e4hk\u00f6postiosoitteet, joiden verkkotunnus on wp-mail[.]net<\/code>. Poista tilit, jotka varmistuvat haitallisiksi tai luvattomiksi.<\/p>\n\n\n\n

          WP-CLI on komentorivity\u00f6kalu WordPressin hallintaan. Saat sill\u00e4 yll\u00e4pit\u00e4j\u00e4tilit n\u00e4kyviin seuraavasti.<\/p>\n\n\n\n

          <\/circle><\/circle><\/circle><\/g><\/svg><\/span>