Fertőzött Rank Math PRO 3.0.123 csomagok: így ellenőrizd és állítsd helyre az oldalad

A Rank Math PRO 3.0.123 egyes hivatalos telepítőcsomagjai kártevőt tartalmaztak. A fertőzött fájlokat letöltés vagy bővítményfrissítés útján is megkaphattad, és a kártékony kód a bővítmény aktiválásakor futott le. Ha az érintett csomagot aktiváltad, kezeld kompromittáltként az oldalt: a frissítés önmagában nem elég.

A fertőzött csomagokat eltávolították, a tiszta kiadás a 3.0.124. Az incidens a fizetős PRO kiegészítőt érinti; az ingyenes Rank Math bővítményt nem jelölték érintettként.

Mi történt, és mikor kerülhetett hozzád fertőzött csomag?

Ez ellátási lánc elleni támadás volt: nem egy szokásos programhibát használtak ki, hanem magába a hivatalosan terjesztett bővítménycsomagba került kártevő. Arról nem jelent meg technikai részlet, hogyan módosították a csomagokat; az elkövető kiléte és az áldozatok száma sem ismert.

Az érintett időablak 2026. október 15. 20:02 UTC és október 16. 07:12 UTC közé esett, vagyis nagyjából 11 óráig tartott. Magyarországi idő szerint ez október 15. 22:02 és október 16. 09:12, közép-európai nyári időben, CEST szerint.

A kártevő tartós hozzáférést alakíthatott ki, és a rank1cdn[.]com domainnel kommunikált. Oldallátogatáskor újra létrehozhatta a rejtett hátsó kapukat, vagyis az illetéktelen belépést biztosító kódot. Hozzáférhetővé válhattak a WordPress-hez és az adatbázishoz tartozó hitelesítő adatok, API-kulcsok és minden más titok, amelyet a webszerver olvasni tudott.

• Érintett verzió: 3.0.123, de csak az érintett időablakban beszerzett csomagok egy része.
• Tiszta verzió: 3.0.124.
• Bővítményazonosító: seo-by-rank-math-pro.
• Sérülékenység-azonosító: CVE-2026-111862. A CVE a nyilvánosan nyilvántartott sérülékenységek egységes azonosítója.
• Súlyosság: a CVSS, vagyis a sérülékenységek súlyosságát pontozó rendszer szerint 9,8, kritikus.
• Nyilvántartott megnevezés: Rank Math SEO PRO 3.0.123 – Unauthenticated Embedded Malicious Code.

Először döntsd el, melyik eset vonatkozik rád

Nyisd meg a WordPress adminfelületén a Bővítmények oldalt, és nézd meg a Rank Math PRO verzióját. Ezután ellenőrizd, mikor szerezted be a csomagot, telepítetted-e, és aktiváltad-e. A Rank Math nyilvántartja, kik töltötték le az érintett példányokat, és értesíti őket.

1. Az érintett időablakban beszerzett 3.0.123-at telepítetted és aktiváltad: kezeld kompromittáltként az oldalt, és végezd el az alábbi helyreállítást.
2. Az érintett 3.0.123-at telepítetted, de soha nem aktiváltad: töröld a bővítmény fájljait, telepítsd a Rank Math-fiókodból letöltött tiszta 3.0.124-et, majd elővigyázatosságból futtass biztonsági vizsgálatot.
3. Csak letöltötted a 3.0.123-at, de nem telepítetted és nem aktiváltad: ebből az incidensből önmagában nem következik, hogy az oldaladat feltörték. Ha nem tudod biztosan, kerültek-e érintett fájlok az oldalra, vagy aktiválták-e őket, kérj segítséget a Rank Math ügyfélszolgálatától.

Ha értesítést kaptál az érintettségről, végezd el a rád vonatkozó lépéseket akkor is, ha azóta másik verzió fut. A jelenlegi verzió nem mutatja meg, mit hozott létre korábban a kártevő.

Gyors állapotfelmérés WP-CLI-vel

A WP-CLI a WordPress parancssori kezelőeszköze; az alábbi parancsokkal gyorsan összegyűjtheted az első nyomokat. A WordPress-parancsokat és a relatív fájlútvonalakat az oldal gyökérkönyvtárából használd. Ezek ellenőriznek, nem takarítanak, és a találatok hiánya sem bizonyítja, hogy az oldal tiszta.

# Telepített verzió
wp plugin get seo-by-rank-math-pro --field=version

# Ismert kártékony adatbázis-bejegyzések keresése
wp option get _uf6qdn2hmm
wp option get t8krdk990phb
wp option get _np5pvf754c

# Adminisztrátorok és regisztrációs időpontjaik
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

# Core-fájlok és WordPress-időzítések ellenőrzése
wp core verify-checksums
wp cron event list

# Ismert hamis core-fájl és kódrészlet keresése
ls -la wp-includes/class-wp-cache-util.php
grep -RIn --include='*.php' 'xmmqhn' wp-content/

# A webszerver felhasználója és a szükséges jogosultság szerverenként eltérhet
crontab -l -u www-data | grep 'ms6v46'

# Telepített verzió
wp plugin get seo-by-rank-math-pro --field=version

# Ismert kártékony adatbázis-bejegyzések keresése
wp option get _uf6qdn2hmm
wp option get t8krdk990phb
wp option get _np5pvf754c

# Adminisztrátorok és regisztrációs időpontjaik
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

# Core-fájlok és WordPress-időzítések ellenőrzése
wp core verify-checksums
wp cron event list

# Ismert hamis core-fájl és kódrészlet keresése
ls -la wp-includes/class-wp-cache-util.php
grep -RIn --include='*.php' 'xmmqhn' wp-content/

# A webszerver felhasználója és a szükséges jogosultság szerverenként eltérhet
crontab -l -u www-data | grep 'ms6v46'

A www-data helyett a saját webszervered rendszerfelhasználóját add meg; más felhasználó crontabjának olvasásához megfelelő jogosultság kell. A crontab a rendszer időzített feladatait tartalmazza, és külön kezelendő a WordPress saját időzített eseményeitől.

Helyreállítás tiszta biztonsági mentésből

Ha aktiváltad a fertőzött csomagot, az elsőként ajánlott út egy incidens előtti mentés visszaállítása. A fájlokat és az adatbázist is állítsd vissza, ne csak a bővítmény könyvtárát.

Olyan mentést válassz, amely 2026. október 15. 20:02 UTC előtt készült. Ez magyar idő szerint október 15. 22:02 CEST; az amerikai keleti nyári idő szerint október 15. 16:02 EDT, indiai idő szerint október 16. 01:32 IST.

1. Állítsd vissza a weboldal fájljait és az adatbázisát az érintett időablak előtti tiszta mentésből.
2. Futtass biztonsági vizsgálatot megbízható eszközzel, például Wordfence-szel vagy Sucuri-val.
3. Cseréld le a jelszavakat és a hitelesítő adatokat. Tekintsd kiszivárgottnak az oldal számára elérhető titkokat, és haladj végig az alábbi külön ellenőrzőlistán.
4. Telepítsd a tiszta Rank Math PRO 3.0.124-et, amelyet a saját Rank Math-fiókodból töltesz le.

Ha nem tudod biztonságosan visszaállítani a mentést, vond be a tárhelyszolgáltatót. A visszaállítás után is végezd el a cikk végén szereplő ellenőrzéseket: a régi mentés nem teszi semmissé a már kiszivárgott hozzáférési adatokat.

Kézi tisztítás: a sorrend itt biztonsági feltétel

Ha nincs használható tiszta mentésed, el kell távolítanod a kártevőt, és fel kell tárnod a támadó további módosításait. Először állítsd le azt a mechanizmust, amely oldallátogatáskor újra létrehozza a hátsó kapukat; csak ezután töröld a hátrahagyott fájlokat.

1. Állítsd le a kártevő újraépülését

Az alábbi három teendőt intézd el, mielőtt továbblépsz a többi nyom felkutatására. A bővítmény puszta kikapcsolása nem elég.

1. Töröld a teljes Rank Math PRO-könyvtárat. A tárhely fájlkezelőjével vagy FTP-n keresztül keresd meg és töröld a rank-math-pro mappát. Ez a könyvtárnév, nem azonos a WP-CLI-parancsokban használt seo-by-rank-math-pro bővítményazonosítóval.
2. Töröld a kártékony adatbázis-bejegyzéseket. Például phpMyAdminban nyisd meg a WordPress adatbázisát, és az options táblából távolítsd el azokat a sorokat, amelyek option_name mezője _uf6qdn2hmm, t8krdk990phb vagy _np5pvf754c. Alapértelmezett táblaprefix mellett a tábla neve wp_options; eltérő prefix esetén a megfelelő táblát keresd.
3. Ha a tárhely vagy a tűzfal támogatja, tiltsd a kimenő kapcsolatokat a rank1cdn.com domain felé.

2. Keresd meg a további fájlokat, fiókokat és szervermódosításokat

A támadó a Rank Math könyvtárán kívül is hagyhatott hozzáférést. Menj végig az összes alábbi területen: egyetlen megtalált és törölt fájl még nem jelenti azt, hogy végeztél.

Rejtett PHP-hátsó kapuk és fertőzésjelzők

A fertőzésjelző olyan fájlnév, kódrészlet, fiókminta vagy más nyom, amely segíthet felismerni a támadást. A PHP-fájlokat ne csak a Rank Math mappájában keresd: más bővítményekbe és sablonokba is kerülhetett kártékony kód.

• Átnézendő könyvtár: wp-content/mu-plugins/, ahol a WordPress automatikusan betöltött bővítményei találhatók.
• Átnézendő könyvtárak: más bővítmények mappái.
• Átnézendő könyvtárak: a nem alapértelmezett sablonok inc/, includes/ és lib/ mappái.
• Átnézendő könyvtár: a Rank Math includes/ mappája.
• Gyanús kódminta: base64_decode XOR-műveleteket végző ciklusokkal együtt.
• Ismert kulcs: xmmqhn.
• További gyanús minták: proc_open, illetve a PHP-FPM PHP-folyamatkezelő socketjét használó kód.

A kódmintákat összefüggésükben vizsgáld, ne törölj automatikusan minden fájlt egy függvénynév alapján. Biztonsági bővítmény vagy a tárhelyszolgáltató is segíthet a keresésben és a valóban kártékony fájlok eltávolításában.

Ismeretlen adminisztrátorok

Nézd át az összes adminisztrátori jogosultságú WordPress-fiókot. Különösen gyanús a wpsupport_ előtagot véletlenszerű karakterekkel folytató felhasználónév, illetve a @wp-mail[.]net végű e-mail-cím.

Töröld az igazoltan kártékony vagy engedély nélkül létrehozott fiókokat. A listát a korábbi részletes WP-CLI-paranccsal vagy az egyszerűbb wp user list --role=administrator paranccsal is lekérheted.

Hamis WordPress core-fájl

A wp-includes/class-wp-cache-util.php nem valódi WordPress core-fájl. A core a WordPress alapfájljainak összessége; ha ezt a fájlt megtalálod, töröld, majd ellenőrizd a core-t a hivatalos fájlokból számolt ellenőrzőösszegekkel.

wp core verify-checksums

wp core verify-checksums

Telepítsd újra a WordPress core-fájljait hivatalos forrásból is, hogy más módosított alapfájl se maradjon hátra. A hamis fájl törlése önmagában nem zárja ki, hogy további core-fájlokat is átírtak.

Átírt .htaccess és PHP-kódot tartalmazó .cache fájlok

Nézd át a gyökérkönyvtárban és az alkönyvtárakban található .htaccess fájlokat. Olyan szabályokat keress, amelyek megengedik, hogy a .cache kiterjesztésű fájlok PHP-kódként fussanak.

Keress PHP-kódot tartalmazó .cache fájlokat a szerveren is. Vizsgáld meg a gyanús találatokat: a fájlkiterjesztés nem árulja el biztosan, milyen kódot futtat a szerver.

Rendszerszintű és WordPress-időzítések

A webszerver rendszerfelhasználójának crontabjában keresd a #ms6v46 jelölést. Ettől külön nézd át a WordPress időzített eseményeit a wp cron event list paranccsal.

Vizsgáld ki a gyanús feladatokat, és távolítsd el a kártékonyakat. Mindkét időzítési helyet ellenőrizd, mert az egyik listája nem mutatja meg a másikban tárolt feladatokat.

Más bővítmények, sablonok és feltöltött fájlok

• Telepítsd újra a bővítményeket és sablonokat hivatalos forrásból, és ahol lehet, hasonlítsd össze őket tiszta példányokkal.
• Keress PHP-fájlokat az uploads/ könyvtárban; ezeknek általában nincs ott helyük.
• Törlés előtt vizsgáld meg a váratlan vagy módosított fájlokat.

A WordPress-en kívüli szerverkörnyezet

A támadó a WordPress telepítési könyvtárán kívül is módosíthatott fájlokat vagy hozzáféréseket. A vizsgálatot ezért ne állítsd meg a weboldal mappájánál.

• Ellenőrizd az SSH-hozzáférést engedélyező authorized_keys fájlokat.
• Nézd át más rendszerfelhasználók crontabjait.
• Vizsgáld meg a futó folyamatokat.
• Ellenőrizd a weboldal könyvtárán kívüli helyeket, ahová a webszerver felhasználója írhat.

Osztott tárhelyen ezekhez nem feltétlenül férsz hozzá. Ilyenkor kérd meg a szolgáltatót, hogy a szerveroldali területeket is vizsgálja át.

3. Cseréld le az összes érintett hitelesítő adatot

Tekintsd kiszivárgottnak azokat a jelszavakat és titkokat, amelyeket a kompromittált oldal elérhetett. Ezt a lépést tiszta mentés visszaállítása után sem hagyhatod ki. Kézi tisztításnál előbb távolítsd el a kártevőt és a hátrahagyott hozzáféréseket, majd cseréld le az adatokat.

• Jelszavak: változtasd meg az érintett WordPress-fiókok jelszavát és minden más releváns hozzáférést, amelyet az oldal elérhetett.
• Adatbázis-hozzáférés: cseréld le az adatbázis felhasználónevét és jelszavát, és vezesd át őket a wp-config.php fájlban.
• WordPress biztonsági kulcsok és saltok: generálj új értékeket a wp-config.php számára. Ezek a hitelesítés és a munkamenetek védelmében használt titkos értékek.
• API-kulcsok és szolgáltatási hozzáférések: cseréld le a fizetési szolgáltatók kulcsait, a levélküldéshez használt SMTP-hozzáféréseket, valamint a beállításokban vagy konfigurációs fájlokban tárolt további kulcsokat és titkokat.
• Tárhely- és szerverhozzáférés: változtasd meg a tárhelyvezérlő, az FTP/SFTP és az SSH érintett jelszavait vagy hitelesítő adatait. Nézd át a környezeti változókban tárolt titkokat is.
• Kétfaktoros hitelesítés: ellenőrizd az adminisztrátori fiókok második hitelesítési tényezőjét, és szükség esetén állítsd be újra.

Az új hozzáférési adatokat minden szükséges helyen vezesd át az oldal konfigurációjában és a kapcsolódó szolgáltatásoknál. Ha nem látod át, mely titkokhoz férhetett hozzá az oldal, kérj célzott átvilágítást a tárhelyszolgáltatótól vagy biztonsági szakembertől.

4. Ellenőrizd, hogy valóban tiszta-e az oldal

A tisztítást külön ellenőrzési körrel zárd le. Ne csak azt nézd, eltűntek-e az ismert fájlok, hanem azt is, visszatérnek-e, illetve maradt-e gyanús hálózati aktivitás.

1. Futtass teljes biztonsági vizsgálatot megbízható eszközzel, például Wordfence-szel vagy Sucuri-val.
2. Ellenőrizd a WordPress core-fájlokat a wp core verify-checksums paranccsal.
3. Ellenőrizd a telepített bővítmények fájljait a wp plugin verify-checksums --all paranccsal. Nem minden bővítményhez érhető el ellenőrzőösszeg, különösen a fizetős termékekhez. Ilyenkor a hivatalos forrásból származó tiszta példánnyal hasonlítsd össze a fájlokat.
4. A következő napokban figyeld a kimenő kapcsolatokat és minden szokatlan aktivitást.
5. Ellenőrizd, újra megjelennek-e a törölt fájlok.

wp core verify-checksums
wp plugin verify-checksums --all

wp core verify-checksums
wp plugin verify-checksums --all

Ha a gyanús fájlok visszatérnek, vagy rendellenes működést látsz, a tisztítás hiányos lehet. Térj vissza a kézi folyamat második lépéséhez, és vond be a tárhelyszolgáltatót vagy biztonsági szakembert a további vizsgálatba.

A tiszta Rank Math PRO telepítése

A rád vonatkozó helyreállítási lépések után telepítsd a 3.0.124-es tiszta verziót. Közvetlenül nyisd meg a rankmath.com oldalt, jelentkezz be a fiókodba, majd a letöltéseid között keresd meg a frissített bővítményt.

Előfordulhat, hogy a belépéshez vissza kell állítanod a Rank Math-fiókod jelszavát. Ezt is a kézzel megnyitott hivatalos weboldalról indítsd.

A nem hivatalos, köztük a GPL-alapú továbbterjesztő oldalak továbbra is kínálhatnak 3.0.123-as példányokat. A tiszta csomagot a saját gyártói fiókodból szerezd be, ne ilyen gyűjteményből.

Mit érdemes változtatnod az üzemeltetésen?

Megbízható, fizetős bővítményszállító is válhat ellátási lánc elleni támadás célpontjává. A hivatalos letöltési útvonal fontos, de ebben az esetben önmagában nem akadályozta meg a kártevő bejutását.

• Gondold át az automatikus frissítések rendjét a fizetős bővítményeknél. Gyorsan eljuttatják a javításokat, de kompromittált csomagot is automatikusan telepíthetnek.
• Tarts a szerveren kívüli biztonsági mentéseket, több korábbi állapotot megőrizve. Így nem csak a legutóbbi, esetleg már fertőzött mentéshez tudsz visszanyúlni.
• Figyeld és ahol lehet, korlátozd a webszerver kimenő kapcsolatait. Ebben az incidensben a külső kommunikáció is fontos vizsgálati nyom.
• Használj ellenőrzőösszeg-alapú fájlellenőrzést, és ahol nincs hozzá hivatalos adat, hasonlíts tiszta gyártói csomaghoz.
• A biztonsági értesítés ne írja felül az adathalászat elleni rutinodat. Ne e-mailes belépési vagy letöltési linkből indulj, hanem közvetlenül a szolgáltató oldaláról.

Most az érintettséget és a helyreállítás állapotát tisztázd

Elsőként ellenőrizd a beszerzés időpontját és azt, aktiválták-e az érintett csomagot. Ha igen, válassz tiszta mentést vagy végezd el a kézi folyamatot a megadott sorrendben; a hitelesítő adatok cseréjét és az utóellenőrzést egyik úton se hagyd el.

Ha bizonytalan az érintettség vagy a következő lépés, nyiss Rank Math támogatási jegyet. Add meg a használt PRO-verziót és a már elvégzett helyreállítási lépéseket, a szerveroldali vizsgálathoz pedig vond be a tárhelyszolgáltatót.