Rank Math PRO 3.0.123 compromis : vérifier et nettoyer votre site WordPress

Installer Rank Math PRO 3.0.124 ne suffit pas à nettoyer un site qui a exécuté une copie infectée de la version 3.0.123. Cette version propre remplace les fichiers de l’extension, mais ne supprime ni les fichiers malveillants déposés ailleurs, ni les comptes administrateurs, ni les tâches planifiées que le logiciel malveillant a pu créer.

L’incident concerne certaines archives officielles de Rank Math PRO 3.0.123 téléchargées pendant une fenêtre précise, entre le 15 et le 16 octobre 2026. Pour choisir la bonne réponse, vérifiez d’abord quand vous avez obtenu l’archive, puis si vous avez installé et activé l’extension.

Ce qui s’est passé

Des archives distribuées par les canaux officiels de téléchargement et de mise à jour de Rank Math PRO contenaient du code malveillant. Il s’agit d’une attaque de la chaîne d’approvisionnement : l’attaquant a compromis le paquet logiciel livré aux utilisateurs, plutôt qu’exploité un simple défaut de programmation de l’extension. Rank Math a retiré les fichiers concernés et publié une version propre, la 3.0.124.

La fenêtre concernée s’étend du 15 octobre 2026 à 20 h 02 UTC au 16 octobre 2026 à 7 h 12 UTC, soit environ onze heures. En heure d’été d’Europe centrale, cela correspond au 15 octobre à 22 h 02 jusqu’au 16 octobre à 9 h 12 CEST. Seule une partie des archives de la version 3.0.123 contient le logiciel malveillant.

Wordfence Intelligence référence l’incident sous CVE-2026-111862, avec un score CVSS de 9,8, critique. Un identifiant CVE référence publiquement une vulnérabilité ; le système CVSS en évalue la gravité. La fiche décrit ici du code malveillant embarqué qui ne nécessite pas d’authentification.

Le logiciel malveillant s’exécute lorsque vous activez l’extension. Il peut établir un accès persistant, communiquer avec rank1cdn[.]com et recréer des portes dérobées cachées lors des visites du site. Une porte dérobée donne à l’attaquant un accès qui contourne les mécanismes habituels.

Considérez les identifiants WordPress, les accès à la base de données, les clés d’API – les interfaces de programmation des services connectés – et tout autre secret lisible par le serveur web comme potentiellement exposés. Le périmètre annoncé concerne uniquement le module PRO : l’avis ne mentionne pas l’extension gratuite Rank Math comme touchée. Rank Math n’a pas publié comment les attaquants ont altéré les archives ; aucun détail ne permet d’attribuer l’attaque ou de chiffrer les victimes.

Déterminer si votre site est concerné

Dans le tableau de bord WordPress, ouvrez Extensions et relevez la version de Rank Math PRO. Le numéro 3.0.123, à lui seul, ne prouve pas une compromission : la date à laquelle vous avez obtenu les fichiers compte aussi. Inversement, une version désormais différente ne garantit pas que le site n’a jamais exécuté l’archive infectée.

1. Vous avez installé et activé une copie concernée de la version 3.0.123 obtenue pendant la fenêtre de l’incident. Traitez le site comme compromis et suivez l’une des deux procédures de récupération ci-dessous.
2. Vous avez installé une copie concernée de la version 3.0.123 sans jamais l’activer. Supprimez ses fichiers, installez la version propre 3.0.124 depuis votre compte Rank Math, puis lancez une analyse de sécurité par précaution.
3. Vous avez seulement téléchargé la version 3.0.123, sans l’installer ni l’activer. Cet incident, à lui seul, n’indique pas que votre site a subi une compromission. Si vous ne savez plus si les fichiers ont été installés ou activés, demandez de l’aide au support Rank Math.

Rank Math dispose des enregistrements qui identifient les comptes ayant téléchargé les copies concernées et prévient ces utilisateurs. Si vous avez reçu une notification, appliquez la procédure adaptée à votre cas, même si votre site utilise aujourd’hui une autre version.

Relever les premiers indices avec WP-CLI

WP-CLI, l’outil qui permet d’administrer WordPress en ligne de commande, aide à relever la version installée, les comptes administrateurs et les tâches planifiées. Les commandes suivantes servent au tri initial : elles ne nettoient pas le site et l’absence de résultat suspect ne prouve pas que le site est sain.

# Depuis le répertoire de WordPress.
wp plugin get seo-by-rank-math-pro --field=version

# Rechercher les options associées à l’incident.
wp option get _uf6qdn2hmm
wp option get t8krdk990phb
wp option get _np5pvf754c

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
wp core verify-checksums
wp cron event list

ls -la wp-includes/class-wp-cache-util.php
grep -RIn --include='*.php' 'xmmqhn' wp-content/

# Adapter www-data au compte du serveur web ; les droits nécessaires sont requis.
crontab -l -u www-data | grep 'ms6v46'

# Depuis le répertoire de WordPress.
wp plugin get seo-by-rank-math-pro --field=version

# Rechercher les options associées à l’incident.
wp option get _uf6qdn2hmm
wp option get t8krdk990phb
wp option get _np5pvf754c

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
wp core verify-checksums
wp cron event list

ls -la wp-includes/class-wp-cache-util.php
grep -RIn --include='*.php' 'xmmqhn' wp-content/

# Adapter www-data au compte du serveur web ; les droits nécessaires sont requis.
crontab -l -u www-data | grep 'ms6v46'

La fiche technique identifie l’extension par le slug seo-by-rank-math-pro. Pour supprimer manuellement ses fichiers, la procédure de Rank Math désigne le dossier rank-math-pro : ne confondez pas cet identifiant d’extension avec le nom du dossier à rechercher.

Option 1 : restaurer une sauvegarde saine

Privilégiez une sauvegarde du site et de sa base de données antérieure au début de l’incident. La limite est le 15 octobre 2026 à 20 h 02 UTC, soit 22 h 02 CEST ou 16 h 02 EDT le même jour, et le 16 octobre à 1 h 32 IST. La restauration ne dispense pas de remplacer les secrets potentiellement exposés.

1. Restaurez les fichiers du site et sa base de données depuis une sauvegarde créée avant cette limite.
2. Lancez une analyse de sécurité avec un outil reconnu, par exemple Wordfence ou Sucuri.
3. Remplacez tous les mots de passe et identifiants concernés, y compris les accès à la base de données et les clés d’API. Suivez la liste détaillée de la section consacrée aux secrets ci-dessous.
4. Installez Rank Math PRO 3.0.124 après la restauration, à partir d’une archive propre téléchargée dans votre compte Rank Math.

Si vous ne savez pas restaurer la sauvegarde, demandez à votre hébergeur de vous accompagner. Après la récupération, appliquez aussi les contrôles de vérification et la surveillance décrits plus bas.

Option 2 : nettoyer manuellement le site

Sans sauvegarde saine exploitable, vous devez supprimer le logiciel malveillant et rechercher les autres modifications de l’attaquant. Respectez l’ordre des étapes : une visite du site peut suffire à recréer une porte dérobée tant que le mécanisme de persistance reste actif.

Étape 1 : empêcher le logiciel malveillant de se recréer

Terminez toutes les actions suivantes avant de rechercher et de supprimer les autres traces. Désactiver simplement l’extension ne suffit pas.

1. Supprimez entièrement le dossier rank-math-pro. Utilisez le gestionnaire de fichiers de votre hébergement ou un accès FTP pour localiser et supprimer le dossier de l’extension PRO.
2. Supprimez les entrées malveillantes de la base de données. Avec un outil comme phpMyAdmin, ouvrez la table wp_options et supprimez les lignes dont le champ option_name correspond à _uf6qdn2hmm, t8krdk990phb ou _np5pvf754c.
3. Bloquez les connexions sortantes vers rank1cdn.com, si votre hébergeur ou votre pare-feu permet ce filtrage.

Étape 2 : rechercher les autres traces de compromission

L’attaquant peut avoir laissé des fichiers, des comptes et des modifications au niveau du serveur. Les indicateurs de compromission suivants servent de points de recherche ; contrôlez chaque zone, sans vous limiter au dossier de Rank Math PRO.

Portes dérobées dans les fichiers PHP

Inspectez les emplacements suivants à la recherche de fichiers PHP suspects. Une extension de sécurité ou votre hébergeur peut vous aider à repérer puis à supprimer les fichiers malveillants.

• wp-content/mu-plugins/.
• Les dossiers des autres extensions.
• Les dossiers inc/, includes/ et lib/ des thèmes autres que les thèmes par défaut.
• Le dossier includes/ de Rank Math.

Recherchez du code qui combine base64_decode et des boucles XOR, c’est-à-dire des opérations logiques utilisées ici pour masquer du contenu. Cherchez aussi la clé xmmqhn, des appels à proc_open, qui peut lancer des processus, ou du code exploitant les sockets de PHP-FPM, le gestionnaire de processus PHP. Examinez ces indices dans leur contexte pour identifier les fichiers malveillants.

Comptes administrateurs inconnus

Passez en revue les utilisateurs qui disposent du rôle administrateur. Recherchez notamment les identifiants qui commencent par wpsupport_ suivi de caractères aléatoires et les comptes dont l’adresse se termine par @wp-mail[.]net. Supprimez les comptes dont vous confirmez le caractère malveillant ou non autorisé.

wp user list --role=administrator

wp user list --role=administrator

Faux fichier du core de WordPress

wp-includes/class-wp-cache-util.php n’est pas un fichier légitime du core de WordPress. S’il existe, supprimez-le, puis contrôlez les sommes de contrôle : ces empreintes permettent de comparer les fichiers présents aux fichiers officiels. Réinstallez les fichiers du core depuis une source officielle pour écarter d’autres altérations.

wp core verify-checksums

wp core verify-checksums

Règles .htaccess et fichiers .cache

Inspectez le fichier .htaccess à la racine du site et ceux des sous-dossiers. Recherchez les règles qui autorisent l’exécution de fichiers .cache comme du code PHP. Cherchez ensuite sur le serveur les fichiers .cache contenant du PHP et examinez chaque résultat suspect.

Tâches planifiées du serveur et de WordPress

Cron est le mécanisme de planification des tâches du système ; sa crontab contient les commandes à exécuter. Inspectez celle de l’utilisateur du serveur web et recherchez les entrées marquées #ms6v46. Examinez également les événements planifiés de WordPress, puis supprimez les tâches dont vous confirmez le caractère malveillant.

# Adapter le compte au serveur utilisé.
crontab -l -u www-data | grep 'ms6v46'

# Événements planifiés de WordPress.
wp cron event list

# Adapter le compte au serveur utilisé.
crontab -l -u www-data | grep 'ms6v46'

# Événements planifiés de WordPress.
wp cron event list

Autres extensions, thèmes et fichiers téléversés

• Réinstallez les extensions depuis leurs sources officielles et comparez leurs fichiers à des copies propres lorsque vous le pouvez.
• Réinstallez les thèmes depuis leurs sources officielles et comparez également leurs fichiers à des copies propres.
• Inspectez le dossier uploads/ à la recherche de fichiers PHP, qui ne devraient généralement pas s’y trouver.
• Examinez les fichiers inattendus ou modifiés avant de les supprimer.

Environnement du serveur

Les modifications peuvent dépasser le répertoire WordPress. Contrôlez les accès et les zones suivantes ; sur un hébergement mutualisé qui ne vous les expose pas, demandez à l’hébergeur de les examiner.

• Les fichiers SSH authorized_keys, qui définissent les clés autorisées à se connecter au serveur.
• Les crontabs des autres utilisateurs du système.
• Les processus en cours d’exécution.
• Les emplacements situés hors du répertoire du site dans lesquels l’utilisateur du serveur web peut écrire.

Étape 3 : remplacer tous les identifiants et secrets exposés

Remplacez les secrets même si vous avez restauré une sauvegarde. Par précaution, considérez que l’attaquant a pu lire tous les identifiants et secrets accessibles au site compromis. Attribuez-leur de nouvelles valeurs robustes.

• Mots de passe. Changez ceux des comptes WordPress ainsi que tous les autres mots de passe accessibles au site compromis.
• Accès à la base de données. Remplacez le nom d’utilisateur et le mot de passe configurés dans wp-config.php.
• Clés de sécurité et sels WordPress. Régénérez ces valeurs de sécurité dans wp-config.php.
• Clés d’API et accès aux services. Remplacez les clés des passerelles de paiement, les identifiants SMTP utilisés pour envoyer les courriels, les clés d’API et les autres secrets présents dans les réglages du site ou les fichiers de configuration.
• Accès à l’hébergement et au serveur. Changez les mots de passe ou les identifiants du panneau d’hébergement, des accès FTP/SFTP et SSH. Examinez aussi les secrets stockés dans les variables d’environnement.
• Authentification à deux facteurs. Vérifiez sa configuration pour les comptes administrateurs et réinitialisez-la lorsque nécessaire.

Reportez les nouvelles valeurs dans la configuration du site et dans les services connectés partout où elles servent. Si vous ne savez pas quels accès remplacer, demandez à votre hébergeur ou à un professionnel de la sécurité de vous aider à dresser la liste.

Étape 4 : vérifier le nettoyage

Après le nettoyage, combinez une analyse de sécurité, des comparaisons de fichiers et une surveillance dans les jours qui suivent. Aucun contrôle isolé ne remplace cet ensemble de vérifications.

1. Lancez une analyse avec un outil reconnu, comme Wordfence ou Sucuri.
2. Vérifiez les fichiers du core de WordPress avec wp core verify-checksums.
3. Vérifiez les fichiers des extensions avec wp plugin verify-checksums --all. Certaines extensions, notamment commerciales, ne proposent pas de sommes de contrôle : comparez alors les fichiers à une copie propre issue de leur source officielle.
4. Surveillez les connexions sortantes et recherchez toute activité suspecte pendant les jours suivants.
5. Vérifiez que les fichiers supprimés ne réapparaissent pas.

wp core verify-checksums
wp plugin verify-checksums --all

wp core verify-checksums
wp plugin verify-checksums --all

Si des fichiers suspects reviennent ou si une activité inhabituelle persiste, le nettoyage peut être incomplet. Reprenez les recherches de l’étape 2 et demandez à votre hébergeur ou à un professionnel de la sécurité d’approfondir l’analyse.

Installer la version propre sans suivre un faux courriel

Une fois les étapes de récupération adaptées à votre situation terminées, installez Rank Math PRO 3.0.124. Saisissez directement rankmath.com dans votre navigateur, connectez-vous à votre compte et ouvrez vos téléchargements pour récupérer l’archive propre. Certains utilisateurs peuvent devoir réinitialiser le mot de passe de leur compte pour retrouver l’accès.

Si vous avez besoin d’aide pour choisir la procédure ou vérifier votre exposition, ouvrez un ticket auprès du support Rank Math. Indiquez la version de Rank Math PRO concernée et les étapes de récupération que vous avez déjà terminées.

Adapter vos contrôles pour les prochaines mises à jour

Une extension commerciale provenant d’un fournisseur de confiance peut aussi servir de vecteur à une attaque de la chaîne d’approvisionnement. Ajustez vos contrôles autour des téléchargements, des sauvegardes et du serveur, plutôt que de considérer le seul canal officiel comme une garantie suffisante.

• Réévaluez les mises à jour automatiques des extensions commerciales. Elles accélèrent l’arrivée des correctifs, mais peuvent aussi installer rapidement une archive compromise : tenez compte des deux effets dans votre politique.
• Conservez des sauvegardes hors du serveur avec une durée de rétention suffisante. Vous devez pouvoir revenir à un état antérieur à l’incident, pas seulement à la dernière copie disponible.
• Surveillez et restreignez les connexions sortantes du serveur web. Intégrez ce contrôle à vos vérifications après incident.
• Vérifiez les sommes de contrôle. Pour les extensions qui n’en proposent pas, utilisez des copies propres provenant de leurs sources officielles.
• Téléchargez Rank Math PRO depuis votre compte éditeur. Des sites de redistribution non officiels, notamment ceux qui redistribuent des extensions sous licence GPL, peuvent encore proposer des copies de la version 3.0.123.
• Gardez le réflexe d’accéder directement au site de l’éditeur. Ne suivez pas les liens de connexion ou de téléchargement d’un courriel qui prétend venir de Rank Math.

Pour votre site ou votre parc client, commencez par classer chaque installation dans l’un des trois cas d’exposition. Si une copie concernée a été activée, choisissez la restauration saine ou le nettoyage ordonné, puis remplacez les secrets et maintenez la surveillance dans les jours suivants.