---
title: "Fertőzött Rank Math PRO 3.0.123 csomagok: így ellenőrizd és állítsd helyre az oldalad"
url: "https://helloblog.io/hu/rank-math-pro-3-0-123-fertozott-csomagok-ellenorzes-helyreallitas/"
date: "2026-10-17"
modified: "2026-10-17"
author: "Kovács Anna"
language: "hu_HU"
categories: ["Biztonság"]
tags: ["ellátási lánc elleni támadás", "kártevő", "Rank Math", "WordPress", "WP-CLI"]
featured_image: "https://helloblog.io/app/uploads/sites/2/2026/10/featured-1024x576.webp"
excerpt: "Hivatalos letöltésen és frissítésen keresztül is érkezhetett kártevő a Rank Math PRO egyes 3.0.123-as csomagjaival. A tiszta verzió telepítése önmagában nem távolítja el a már létrehozott hátsó kapukat."
---

# Fertőzött Rank Math PRO 3.0.123 csomagok: így ellenőrizd és állítsd helyre az oldalad

A Rank Math PRO 3.0.123 egyes hivatalos telepítőcsomagjai kártevőt tartalmaztak. A fertőzött fájlokat letöltés vagy bővítményfrissítés útján is megkaphattad, és a kártékony kód a bővítmény aktiválásakor futott le. **Ha az érintett csomagot aktiváltad, kezeld kompromittáltként az oldalt: a frissítés önmagában nem elég.**

A fertőzött csomagokat eltávolították, a tiszta kiadás a **3.0.124**. Az incidens a fizetős PRO kiegészítőt érinti; az ingyenes Rank Math bővítményt nem jelölték érintettként.

## Mi történt, és mikor kerülhetett hozzád fertőzött csomag?

Ez ellátási lánc elleni támadás volt: nem egy szokásos programhibát használtak ki, hanem magába a hivatalosan terjesztett bővítménycsomagba került kártevő. Arról nem jelent meg technikai részlet, hogyan módosították a csomagokat; az elkövető kiléte és az áldozatok száma sem ismert.

Az érintett időablak **2026. október 15. 20:02 UTC és október 16. 07:12 UTC** közé esett, vagyis nagyjából 11 óráig tartott. Magyarországi idő szerint ez **október 15. 22:02 és október 16. 09:12**, közép-európai nyári időben, CEST szerint.

A kártevő tartós hozzáférést alakíthatott ki, és a `rank1cdn[.]com` domainnel kommunikált. Oldallátogatáskor újra létrehozhatta a rejtett hátsó kapukat, vagyis az illetéktelen belépést biztosító kódot. Hozzáférhetővé válhattak a WordPress-hez és az adatbázishoz tartozó hitelesítő adatok, API-kulcsok és minden más titok, amelyet a webszerver olvasni tudott.

- **Érintett verzió:** 3.0.123, de csak az érintett időablakban beszerzett csomagok egy része.
- **Tiszta verzió:** 3.0.124.
- **Bővítményazonosító:** `seo-by-rank-math-pro`.
- **Sérülékenység-azonosító:** CVE-2026-111862. A CVE a nyilvánosan nyilvántartott sérülékenységek egységes azonosítója.
- **Súlyosság:** a CVSS, vagyis a sérülékenységek súlyosságát pontozó rendszer szerint 9,8, kritikus.
- **Nyilvántartott megnevezés:** Rank Math SEO PRO 3.0.123 – Unauthenticated Embedded Malicious Code.

#### A verziószám nem bizonyít fertőzést – az új verzió pedig nem bizonyít tiszta oldalt

Önmagában a 3.0.123-as verzió nem jelenti azt, hogy fertőzött csomagot kaptál. Ha viszont aktiváltad az érintett csomagot, a 3.0.124-re frissítés csak a Rank Math fájljait cseréli le: a máshol létrehozott fájlokat, adminisztrátori fiókokat és időzített feladatokat nem távolítja el.

## Először döntsd el, melyik eset vonatkozik rád

Nyisd meg a WordPress adminfelületén a **Bővítmények** oldalt, és nézd meg a Rank Math PRO verzióját. Ezután ellenőrizd, mikor szerezted be a csomagot, telepítetted-e, és aktiváltad-e. A Rank Math nyilvántartja, kik töltötték le az érintett példányokat, és értesíti őket.

1. **Az érintett időablakban beszerzett 3.0.123-at telepítetted és aktiváltad:** kezeld kompromittáltként az oldalt, és végezd el az alábbi helyreállítást.
2. **Az érintett 3.0.123-at telepítetted, de soha nem aktiváltad:** töröld a bővítmény fájljait, telepítsd a Rank Math-fiókodból letöltött tiszta 3.0.124-et, majd elővigyázatosságból futtass biztonsági vizsgálatot.
3. **Csak letöltötted a 3.0.123-at, de nem telepítetted és nem aktiváltad:** ebből az incidensből önmagában nem következik, hogy az oldaladat feltörték. Ha nem tudod biztosan, kerültek-e érintett fájlok az oldalra, vagy aktiválták-e őket, kérj segítséget a [Rank Math ügyfélszolgálatától](https://rankmath.com/support/).

Ha értesítést kaptál az érintettségről, végezd el a rád vonatkozó lépéseket akkor is, ha azóta másik verzió fut. A jelenlegi verzió nem mutatja meg, mit hozott létre korábban a kártevő.

### Gyors állapotfelmérés WP-CLI-vel

A WP-CLI a WordPress parancssori kezelőeszköze; az alábbi parancsokkal gyorsan összegyűjtheted az első nyomokat. A WordPress-parancsokat és a relatív fájlútvonalakat az oldal gyökérkönyvtárából használd. Ezek ellenőriznek, nem takarítanak, és a találatok hiánya sem bizonyítja, hogy az oldal tiszta.

```
# Telepített verzió
wp plugin get seo-by-rank-math-pro --field=version

# Ismert kártékony adatbázis-bejegyzések keresése
wp option get _uf6qdn2hmm
wp option get t8krdk990phb
wp option get _np5pvf754c

# Adminisztrátorok és regisztrációs időpontjaik
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

# Core-fájlok és WordPress-időzítések ellenőrzése
wp core verify-checksums
wp cron event list

# Ismert hamis core-fájl és kódrészlet keresése
ls -la wp-includes/class-wp-cache-util.php
grep -RIn --include='*.php' 'xmmqhn' wp-content/

# A webszerver felhasználója és a szükséges jogosultság szerverenként eltérhet
crontab -l -u www-data | grep 'ms6v46'
```

A `www-data` helyett a saját webszervered rendszerfelhasználóját add meg; más felhasználó crontabjának olvasásához megfelelő jogosultság kell. A crontab a rendszer időzített feladatait tartalmazza, és külön kezelendő a WordPress saját időzített eseményeitől.

## Helyreállítás tiszta biztonsági mentésből

Ha aktiváltad a fertőzött csomagot, az elsőként ajánlott út egy incidens előtti mentés visszaállítása. **A fájlokat és az adatbázist is állítsd vissza**, ne csak a bővítmény könyvtárát.

Olyan mentést válassz, amely **2026. október 15. 20:02 UTC előtt** készült. Ez magyar idő szerint október 15. 22:02 CEST; az amerikai keleti nyári idő szerint október 15. 16:02 EDT, indiai idő szerint október 16. 01:32 IST.

1. **Állítsd vissza a weboldal fájljait és az adatbázisát** az érintett időablak előtti tiszta mentésből.
2. **Futtass biztonsági vizsgálatot** megbízható eszközzel, például [Wordfence-szel](https://wordpress.org/plugins/wordfence/) vagy [Sucuri-val](https://wordpress.org/plugins/sucuri-scanner/).
3. **Cseréld le a jelszavakat és a hitelesítő adatokat.** Tekintsd kiszivárgottnak az oldal számára elérhető titkokat, és haladj végig az alábbi külön ellenőrzőlistán.
4. **Telepítsd a tiszta Rank Math PRO 3.0.124-et**, amelyet a saját Rank Math-fiókodból töltesz le.

Ha nem tudod biztonságosan visszaállítani a mentést, vond be a tárhelyszolgáltatót. A visszaállítás után is végezd el a cikk végén szereplő ellenőrzéseket: a régi mentés nem teszi semmissé a már kiszivárgott hozzáférési adatokat.

## Kézi tisztítás: a sorrend itt biztonsági feltétel

Ha nincs használható tiszta mentésed, el kell távolítanod a kártevőt, és fel kell tárnod a támadó további módosításait. Először állítsd le azt a mechanizmust, amely oldallátogatáskor újra létrehozza a hátsó kapukat; csak ezután töröld a hátrahagyott fájlokat.

#### Ne csak a gyanús fájlokat töröld

Amíg az újrafertőző mechanizmus működik, a törölt hátsó kapuk visszakerülhetnek. Ha nem mozogsz otthonosan a fájlok, adatbázisok és szerverbeállítások között, bízd a kézi tisztítást a tárhelyszolgáltatóra vagy biztonsági szakemberre.

### 1. Állítsd le a kártevő újraépülését

Az alábbi három teendőt intézd el, mielőtt továbblépsz a többi nyom felkutatására. A bővítmény puszta kikapcsolása nem elég.

1. **Töröld a teljes Rank Math PRO-könyvtárat.** A tárhely fájlkezelőjével vagy FTP-n keresztül keresd meg és töröld a `rank-math-pro` mappát. Ez a könyvtárnév, nem azonos a WP-CLI-parancsokban használt `seo-by-rank-math-pro` bővítményazonosítóval.
2. **Töröld a kártékony adatbázis-bejegyzéseket.** Például phpMyAdminban nyisd meg a WordPress adatbázisát, és az options táblából távolítsd el azokat a sorokat, amelyek `option_name` mezője `_uf6qdn2hmm`, `t8krdk990phb` vagy `_np5pvf754c`. Alapértelmezett táblaprefix mellett a tábla neve `wp_options`; eltérő prefix esetén a megfelelő táblát keresd.
3. **Ha a tárhely vagy a tűzfal támogatja, tiltsd a kimenő kapcsolatokat a `rank1cdn.com` domain felé.**

### 2. Keresd meg a további fájlokat, fiókokat és szervermódosításokat

A támadó a Rank Math könyvtárán kívül is hagyhatott hozzáférést. Menj végig az összes alábbi területen: egyetlen megtalált és törölt fájl még nem jelenti azt, hogy végeztél.

#### Rejtett PHP-hátsó kapuk és fertőzésjelzők

A fertőzésjelző olyan fájlnév, kódrészlet, fiókminta vagy más nyom, amely segíthet felismerni a támadást. A PHP-fájlokat ne csak a Rank Math mappájában keresd: más bővítményekbe és sablonokba is kerülhetett kártékony kód.

- **Átnézendő könyvtár:** `wp-content/mu-plugins/`, ahol a WordPress automatikusan betöltött bővítményei találhatók.
- **Átnézendő könyvtárak:** más bővítmények mappái.
- **Átnézendő könyvtárak:** a nem alapértelmezett sablonok `inc/`, `includes/` és `lib/` mappái.
- **Átnézendő könyvtár:** a Rank Math `includes/` mappája.
- **Gyanús kódminta:** `base64_decode` XOR-műveleteket végző ciklusokkal együtt.
- **Ismert kulcs:** `xmmqhn`.
- **További gyanús minták:** `proc_open`, illetve a PHP-FPM PHP-folyamatkezelő socketjét használó kód.

A kódmintákat összefüggésükben vizsgáld, ne törölj automatikusan minden fájlt egy függvénynév alapján. Biztonsági bővítmény vagy a tárhelyszolgáltató is segíthet a keresésben és a valóban kártékony fájlok eltávolításában.

#### Ismeretlen adminisztrátorok

Nézd át az összes adminisztrátori jogosultságú WordPress-fiókot. Különösen gyanús a `wpsupport_` előtagot véletlenszerű karakterekkel folytató felhasználónév, illetve a `@wp-mail[.]net` végű e-mail-cím.

Töröld az igazoltan kártékony vagy engedély nélkül létrehozott fiókokat. A listát a korábbi részletes WP-CLI-paranccsal vagy az egyszerűbb `wp user list --role=administrator` paranccsal is lekérheted.

#### Hamis WordPress core-fájl

A `wp-includes/class-wp-cache-util.php` **nem valódi WordPress core-fájl**. A core a WordPress alapfájljainak összessége; ha ezt a fájlt megtalálod, töröld, majd ellenőrizd a core-t a hivatalos fájlokból számolt ellenőrzőösszegekkel.

```
wp core verify-checksums
```

Telepítsd újra a WordPress core-fájljait hivatalos forrásból is, hogy más módosított alapfájl se maradjon hátra. A hamis fájl törlése önmagában nem zárja ki, hogy további core-fájlokat is átírtak.

#### Átírt .htaccess és PHP-kódot tartalmazó .cache fájlok

Nézd át a gyökérkönyvtárban és az alkönyvtárakban található `.htaccess` fájlokat. Olyan szabályokat keress, amelyek megengedik, hogy a `.cache` kiterjesztésű fájlok PHP-kódként fussanak.

Keress PHP-kódot tartalmazó `.cache` fájlokat a szerveren is. Vizsgáld meg a gyanús találatokat: a fájlkiterjesztés nem árulja el biztosan, milyen kódot futtat a szerver.

#### Rendszerszintű és WordPress-időzítések

A webszerver rendszerfelhasználójának crontabjában keresd a **`#ms6v46`** jelölést. Ettől külön nézd át a WordPress időzített eseményeit a `wp cron event list` paranccsal.

Vizsgáld ki a gyanús feladatokat, és távolítsd el a kártékonyakat. Mindkét időzítési helyet ellenőrizd, mert az egyik listája nem mutatja meg a másikban tárolt feladatokat.

#### Más bővítmények, sablonok és feltöltött fájlok

- Telepítsd újra a bővítményeket és sablonokat hivatalos forrásból, és ahol lehet, hasonlítsd össze őket tiszta példányokkal.
- Keress PHP-fájlokat az `uploads/` könyvtárban; ezeknek általában nincs ott helyük.
- Törlés előtt vizsgáld meg a váratlan vagy módosított fájlokat.

#### A WordPress-en kívüli szerverkörnyezet

A támadó a WordPress telepítési könyvtárán kívül is módosíthatott fájlokat vagy hozzáféréseket. A vizsgálatot ezért ne állítsd meg a weboldal mappájánál.

- Ellenőrizd az SSH-hozzáférést engedélyező `authorized_keys` fájlokat.
- Nézd át más rendszerfelhasználók crontabjait.
- Vizsgáld meg a futó folyamatokat.
- Ellenőrizd a weboldal könyvtárán kívüli helyeket, ahová a webszerver felhasználója írhat.

Osztott tárhelyen ezekhez nem feltétlenül férsz hozzá. Ilyenkor kérd meg a szolgáltatót, hogy a szerveroldali területeket is vizsgálja át.

### 3. Cseréld le az összes érintett hitelesítő adatot

Tekintsd kiszivárgottnak azokat a jelszavakat és titkokat, amelyeket a kompromittált oldal elérhetett. **Ezt a lépést tiszta mentés visszaállítása után sem hagyhatod ki.** Kézi tisztításnál előbb távolítsd el a kártevőt és a hátrahagyott hozzáféréseket, majd cseréld le az adatokat.

- **Jelszavak:** változtasd meg az érintett WordPress-fiókok jelszavát és minden más releváns hozzáférést, amelyet az oldal elérhetett.
- **Adatbázis-hozzáférés:** cseréld le az adatbázis felhasználónevét és jelszavát, és vezesd át őket a `wp-config.php` fájlban.
- **WordPress biztonsági kulcsok és saltok:** generálj új értékeket a `wp-config.php` számára. Ezek a hitelesítés és a munkamenetek védelmében használt titkos értékek.
- **API-kulcsok és szolgáltatási hozzáférések:** cseréld le a fizetési szolgáltatók kulcsait, a levélküldéshez használt SMTP-hozzáféréseket, valamint a beállításokban vagy konfigurációs fájlokban tárolt további kulcsokat és titkokat.
- **Tárhely- és szerverhozzáférés:** változtasd meg a tárhelyvezérlő, az FTP/SFTP és az SSH érintett jelszavait vagy hitelesítő adatait. Nézd át a környezeti változókban tárolt titkokat is.
- **Kétfaktoros hitelesítés:** ellenőrizd az adminisztrátori fiókok második hitelesítési tényezőjét, és szükség esetén állítsd be újra.

Az új hozzáférési adatokat minden szükséges helyen vezesd át az oldal konfigurációjában és a kapcsolódó szolgáltatásoknál. Ha nem látod át, mely titkokhoz férhetett hozzá az oldal, kérj célzott átvilágítást a tárhelyszolgáltatótól vagy biztonsági szakembertől.

### 4. Ellenőrizd, hogy valóban tiszta-e az oldal

A tisztítást külön ellenőrzési körrel zárd le. Ne csak azt nézd, eltűntek-e az ismert fájlok, hanem azt is, visszatérnek-e, illetve maradt-e gyanús hálózati aktivitás.

1. **Futtass teljes biztonsági vizsgálatot** megbízható eszközzel, például Wordfence-szel vagy Sucuri-val.
2. **Ellenőrizd a WordPress core-fájlokat** a `wp core verify-checksums` paranccsal.
3. **Ellenőrizd a telepített bővítmények fájljait** a `wp plugin verify-checksums --all` paranccsal. Nem minden bővítményhez érhető el ellenőrzőösszeg, különösen a fizetős termékekhez. Ilyenkor a hivatalos forrásból származó tiszta példánnyal hasonlítsd össze a fájlokat.
4. **A következő napokban figyeld a kimenő kapcsolatokat** és minden szokatlan aktivitást.
5. **Ellenőrizd, újra megjelennek-e a törölt fájlok.**

```
wp core verify-checksums
wp plugin verify-checksums --all
```

Ha a gyanús fájlok visszatérnek, vagy rendellenes működést látsz, a tisztítás hiányos lehet. Térj vissza a kézi folyamat második lépéséhez, és vond be a tárhelyszolgáltatót vagy biztonsági szakembert a további vizsgálatba.

## A tiszta Rank Math PRO telepítése

A rád vonatkozó helyreállítási lépések után telepítsd a **3.0.124-es tiszta verziót**. Közvetlenül nyisd meg a `rankmath.com` oldalt, jelentkezz be a fiókodba, majd a letöltéseid között keresd meg a frissített bővítményt.

Előfordulhat, hogy a belépéshez vissza kell állítanod a Rank Math-fiókod jelszavát. Ezt is a kézzel megnyitott hivatalos weboldalról indítsd.

#### Az incidensre hivatkozó e-mailekkel is légy óvatos

A Rank Math nem küld e-mailben belépési vagy letöltési linket. Kezeld gyanúsként a kéretlen levelet, amely jelszó-visszaállító vagy letöltési link megnyitására kér, és inkább közvetlenül keresd fel a hivatalos oldalt.

A nem hivatalos, köztük a GPL-alapú továbbterjesztő oldalak továbbra is kínálhatnak 3.0.123-as példányokat. A tiszta csomagot a saját gyártói fiókodból szerezd be, ne ilyen gyűjteményből.

## Mit érdemes változtatnod az üzemeltetésen?

Megbízható, fizetős bővítményszállító is válhat ellátási lánc elleni támadás célpontjává. A hivatalos letöltési útvonal fontos, de ebben az esetben önmagában nem akadályozta meg a kártevő bejutását.

- **Gondold át az automatikus frissítések rendjét a fizetős bővítményeknél.** Gyorsan eljuttatják a javításokat, de kompromittált csomagot is automatikusan telepíthetnek.
- **Tarts a szerveren kívüli biztonsági mentéseket, több korábbi állapotot megőrizve.** Így nem csak a legutóbbi, esetleg már fertőzött mentéshez tudsz visszanyúlni.
- **Figyeld és ahol lehet, korlátozd a webszerver kimenő kapcsolatait.** Ebben az incidensben a külső kommunikáció is fontos vizsgálati nyom.
- **Használj ellenőrzőösszeg-alapú fájlellenőrzést**, és ahol nincs hozzá hivatalos adat, hasonlíts tiszta gyártói csomaghoz.
- **A biztonsági értesítés ne írja felül az adathalászat elleni rutinodat.** Ne e-mailes belépési vagy letöltési linkből indulj, hanem közvetlenül a szolgáltató oldaláról.

## Most az érintettséget és a helyreállítás állapotát tisztázd

Elsőként ellenőrizd a beszerzés időpontját és azt, aktiválták-e az érintett csomagot. Ha igen, válassz tiszta mentést vagy végezd el a kézi folyamatot a megadott sorrendben; a hitelesítő adatok cseréjét és az utóellenőrzést egyik úton se hagyd el.

Ha bizonytalan az érintettség vagy a következő lépés, nyiss [Rank Math támogatási jegyet](https://rankmath.com/support/). Add meg a használt PRO-verziót és a már elvégzett helyreállítási lépéseket, a szerveroldali vizsgálathoz pedig vond be a tárhelyszolgáltatót.

## Hivatkozások / Források

- [Rank Math PRO 3.0.123 Security Incident: How to Secure Your Website](https://rankmath.com/kb/pro-3-0-123-security-incident/)
- [Rank Math SEO PRO 3.0.123 Malware](https://www.wordfence.com/blog/2026/10/rank-math-seo-pro-3-0-123-malware/)
- [Rank Math SEO PRO 3.0.123 – Unauthenticated Embedded Malicious Code](https://www.wordfence.com/threat-intel/vulnerabilities/id/81cd7a2c-ad0c-4dbc-b5dc-07ec866d5c1f)