Rank Math PRO 3.0.123: attacco alla distribuzione degli aggiornamenti e bonifica

Se hai scaricato o aggiornato Rank Math PRO 3.0.123 tra il 15 ottobre 2026 alle 20:02 UTC e il 16 ottobre 2026 alle 07:12 UTC, devi verificare quale pacchetto hai installato e se lo hai attivato. In quella finestra, durata circa undici ore, alcuni pacchetti distribuiti attraverso i canali ufficiali contenevano malware. In Italia, con l’ora legale CEST, l’intervallo va dalle 22:02 del 15 ottobre alle 09:12 del 16 ottobre 2026.

Rank Math ha rimosso i pacchetti compromessi e pubblicato Rank Math PRO 3.0.124, una versione pulita. L’aggiornamento sostituisce i file del plugin, ma non elimina gli eventuali file, account amministratore o processi pianificati che il malware ha già creato altrove. Se hai attivato una copia coinvolta, tratta il sito come compromesso.

Che cosa è successo

Il malware era dentro il pacchetto ufficiale del plugin: questo è un attacco alla catena di distribuzione, o supply chain, non un difetto nel codice legittimo da correggere con una normale modifica. L’incidente riguarda l’estensione PRO; l’avviso non indica il plugin gratuito Rank Math tra i prodotti coinvolti. Rank Math non ha pubblicato come gli aggressori abbiano alterato i pacchetti, né dati sul numero di siti compromessi o informazioni che permettano di attribuire l’attacco.

La scheda di Wordfence Intelligence identifica il problema come CVE-2026-111862, dove CVE indica l’identificativo pubblico della vulnerabilità, e lo classifica come codice malevolo incorporato che non richiede autenticazione. Il punteggio CVSS, il sistema di valutazione della gravità delle vulnerabilità, è 9,8: critico. La versione interessata è la 3.0.123, limitatamente ai pacchetti coinvolti; la versione pulita è la 3.0.124.

Il codice malevolo entra in esecuzione quando attivi il plugin e può creare accessi persistenti, cioè punti di ingresso che restano disponibili anche dopo la sostituzione del pacchetto. Comunica con il dominio rank1cdn[.]com e può ricreare backdoor nascoste, ossia accessi non autorizzati, quando qualcuno visita il sito. Considera esposte le credenziali di WordPress, quelle del database, le chiavi API e qualsiasi altro segreto che il processo del server web poteva leggere.

Chi deve intervenire: i tre casi da distinguere

Apri Plugin nella Bacheca di WordPress e controlla la versione installata di Rank Math PRO. Il solo numero 3.0.123 non dimostra una compromissione: conta se hai ottenuto il pacchetto nella finestra indicata e se lo hai attivato.

1. Hai installato e attivato la copia coinvolta della 3.0.123: tratta il sito come compromesso e segui uno dei percorsi di recupero descritti sotto.
2. Hai installato la copia coinvolta della 3.0.123, ma non l’hai mai attivata: elimina i file del plugin, installa la versione pulita 3.0.124 dal tuo account Rank Math ed esegui una scansione di sicurezza per precauzione.
3. Hai scaricato la 3.0.123 senza installarla né attivarla: questo incidente, da solo, non indica che il sito sia compromesso. Se non riesci a ricostruire se qualcuno abbia installato o attivato quei file, contatta il supporto.

Rank Math conserva i dati dei download coinvolti e avvisa gli utenti interessati. Se hai ricevuto una notifica, segui il percorso adatto anche se oggi il sito usa un’altra versione: la versione attuale non ricostruisce ciò che il malware potrebbe aver fatto prima.

Controlli iniziali con WP-CLI

WP-CLI è l’interfaccia a riga di comando per amministrare WordPress. Dalla directory dell’installazione puoi controllare versione, opzioni sospette, amministratori, integrità del core e attività pianificate. Lo slug, cioè l’identificativo del plugin, è seo-by-rank-math-pro.

wp plugin get seo-by-rank-math-pro --field=version

# Cerca le tre opzioni associate al malware.
wp option get _uf6qdn2hmm
wp option get t8krdk990phb
wp option get _np5pvf754c

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
wp core verify-checksums
wp cron event list

# Controlla il falso file del core e cerca una stringa indicatrice.
ls -la wp-includes/class-wp-cache-util.php
grep -RIn --include='*.php' 'xmmqhn' wp-content/

# Usa l'utente effettivo del server web e i permessi necessari.
crontab -l -u www-data | grep 'ms6v46'

wp plugin get seo-by-rank-math-pro --field=version

# Cerca le tre opzioni associate al malware.
wp option get _uf6qdn2hmm
wp option get t8krdk990phb
wp option get _np5pvf754c

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
wp core verify-checksums
wp cron event list

# Controlla il falso file del core e cerca una stringa indicatrice.
ls -la wp-includes/class-wp-cache-util.php
grep -RIn --include='*.php' 'xmmqhn' wp-content/

# Usa l'utente effettivo del server web e i permessi necessari.
crontab -l -u www-data | grep 'ms6v46'

Percorso 1: ripristina un backup pulito

Se hai attivato il pacchetto compromesso, il percorso raccomandato è ripristinare sia i file del sito sia il database da un backup precedente all’inizio dell’incidente. Il limite temporale è il 15 ottobre 2026 alle 20:02 UTC, equivalente alle 22:02 CEST, alle 16:02 EDT e al 16 ottobre alle 01:32 IST.

1. Ripristina sito e database da un backup creato prima dell’inizio della finestra coinvolta.
2. Esegui una scansione di sicurezza con uno strumento affidabile, come Wordfence o Sucuri.
3. Sostituisci tutte le password e le credenziali potenzialmente esposte, comprese quelle del database e le chiavi API. Usa la checklist dedicata più avanti per controllare ogni categoria di segreto.
4. Installa Rank Math PRO 3.0.124, scaricandolo dal tuo account Rank Math dopo il ripristino.

Chiedi assistenza al provider di hosting se non sai come ripristinare il backup. Il ripristino non annulla un’eventuale sottrazione di credenziali: devi sostituirle anche quando recuperi una copia del sito precedente all’attacco.

Percorso 2: bonifica manualmente il sito

Se non puoi recuperare un backup pulito, devi rimuovere il malware e cercare le altre modifiche introdotte dall’aggressore. Rispetta l’ordine dei passaggi: una visita al sito può innescare la ricreazione delle backdoor, quindi cancellare prima i file sospetti può non risolvere il problema.

Affida questo percorso al provider di hosting o a un professionista della sicurezza se non hai dimestichezza con file, database e configurazione del server. Il controllo non riguarda soltanto WordPress: l’aggressore potrebbe aver scritto anche fuori dalla directory del sito.

1. Blocca il meccanismo che ricrea il malware

Completa tutte le azioni seguenti prima di cercare e rimuovere le altre modifiche malevole. Disattivare il plugin non basta: devi eliminare l’intera cartella del componente compromesso e le opzioni indicate.

1. Elimina tutta la cartella di Rank Math PRO. Usa il gestore dei file dell’hosting oppure FTP, il protocollo di trasferimento dei file. La procedura di recupero indica la cartella rank-math-pro: individua la directory effettiva del componente PRO nella tua installazione.
2. Elimina le opzioni malevole dal database. Apri il database di WordPress con uno strumento come phpMyAdmin e cerca nella tabella wp_options le righe il cui campo option_name corrisponde a _uf6qdn2hmm, t8krdk990phb oppure _np5pvf754c. Elimina ogni corrispondenza; se l’installazione usa un prefisso diverso da wp_, controlla la relativa tabella delle opzioni.
3. Blocca le connessioni in uscita verso rank1cdn.com, se il provider o il firewall permettono questo controllo.

2. Cerca le backdoor e le altre modifiche

Controlla separatamente file, account, regole del server e attività pianificate. Gli indicatori di compromissione, spesso abbreviati in IOC, sono tracce utili per questa ricerca; non limitare però la verifica al primo indicatore trovato.

File PHP nascosti

Cerca file PHP sospetti nelle posizioni elencate sotto. Un plugin di sicurezza o il provider possono aiutarti a individuare il codice malevolo e rimuoverlo.

• wp-content/mu-plugins/, la directory dei plugin che WordPress carica automaticamente.
• Le cartelle degli altri plugin.
• Le cartelle inc/, includes/ e lib/ dei temi diversi da quelli predefiniti.
• La cartella includes/ di Rank Math.

Cerca codice che combini base64_decode con cicli XOR, cioè operazioni logiche spesso usate per offuscare il contenuto, oppure che contenga la chiave xmmqhn. Controlla anche l’uso di proc_open, la funzione PHP che avvia processi, e il codice che comunica con i socket di PHP-FPM, il gestore dei processi PHP. Valuta il contesto prima di eliminare un file: una singola funzione non dimostra da sola che il codice sia malevolo.

Account amministratore sconosciuti

Esamina tutti gli utenti con privilegi di amministratore e verifica gli account che non riconosci. Cerca in particolare nomi che iniziano con wpsupport_ seguiti da caratteri casuali e indirizzi email con dominio @wp-mail[.]net. Elimina gli account che confermi come malevoli o non autorizzati.

wp user list --role=administrator

wp user list --role=administrator

Un falso file del core di WordPress

wp-includes/class-wp-cache-util.php non è un file legittimo del core di WordPress. Se lo trovi, rimuovilo ed esegui il controllo dei checksum, le impronte con cui confrontare i file con le copie ufficiali. Reinstalla poi i file del core da una fonte ufficiale per eliminare anche eventuali altre alterazioni.

wp core verify-checksums

wp core verify-checksums

Regole in .htaccess e file .cache

Esamina il file .htaccess nella directory principale del sito e nelle sottodirectory. Cerca regole che permettono al server di eseguire i file con estensione .cache come codice PHP. Cerca inoltre sul server i file .cache che contengono PHP e approfondisci ogni risultato sospetto.

Attività pianificate di sistema e di WordPress

Controlla il crontab, l’elenco delle attività pianificate di sistema, dell’utente che esegue il server web. Cerca le voci contrassegnate da #ms6v46. Esamina separatamente gli eventi pianificati di WordPress e rimuovi le attività che confermi come malevole.

# Sostituisci www-data se il server web usa un altro utente.
crontab -l -u www-data | grep 'ms6v46'

# Elenca gli eventi pianificati da WordPress.
wp cron event list

# Sostituisci www-data se il server web usa un altro utente.
crontab -l -u www-data | grep 'ms6v46'

# Elenca gli eventi pianificati da WordPress.
wp cron event list

Altri plugin, temi e file caricati

• Reinstalla plugin e temi dalle rispettive fonti ufficiali e confronta i file con copie pulite quando possibile.
• Controlla la directory uploads/ e cerca file PHP, che normalmente non dovrebbero trovarsi lì.
• Esamina i file inattesi o modificati prima di cancellarli.

Modifiche fuori da WordPress

Allarga il controllo all’ambiente del server: l’aggressore potrebbe aver lasciato accessi o processi fuori dall’installazione. Verifica ciascuna delle aree seguenti.

• I file authorized_keys di SSH, il protocollo per l’accesso remoto sicuro, che contengono le chiavi autorizzate a collegarsi.
• I crontab degli altri utenti di sistema.
• I processi in esecuzione.
• Le directory esterne al sito nelle quali l’utente del server web può scrivere.

Se usi un hosting condiviso e non puoi accedere a queste aree, chiedi al provider di controllarle. La mancanza di accesso dal pannello di WordPress non esclude modifiche sul server.

3. Sostituisci password, chiavi e credenziali

Dopo aver rimosso i meccanismi malevoli, sostituisci i segreti che il sito compromesso poteva leggere con valori nuovi e sicuri. Questo passaggio serve anche dopo un ripristino da backup: recuperare i file non rende inutilizzabili le credenziali eventualmente sottratte.

• Tutte le password pertinenti: cambia le password degli account WordPress e delle altre credenziali accessibili al sito compromesso.
• Credenziali del database: aggiorna nome utente e password del database configurati in wp-config.php.
• Chiavi di sicurezza e salt di WordPress: rigenera in wp-config.php le chiavi e i valori casuali che WordPress usa per proteggere l’autenticazione.
• Chiavi API e credenziali dei servizi: sostituisci le chiavi dei servizi di pagamento, le credenziali SMTP per l’invio delle email, le chiavi delle API, cioè le interfacce di programmazione dei servizi, e gli altri segreti salvati nelle impostazioni o nei file di configurazione.
• Accessi all’hosting e al server: cambia le password o le credenziali del pannello di hosting, di FTP/SFTP e di SSH. SFTP permette di trasferire file tramite SSH. Esamina anche i segreti presenti nelle variabili d’ambiente.
• Autenticazione a due fattori: controlla la configurazione degli account amministratore e reimpostala dove necessario.

Aggiorna la configurazione del sito e i servizi collegati ovunque richiedano i nuovi valori. Se non riesci a ricostruire quali credenziali fossero accessibili, chiedi al provider o al professionista che segue la bonifica di completare l’inventario.

4. Verifica che la bonifica abbia funzionato

Concludi la pulizia con controlli distinti su malware, integrità dei file e comportamento del sito. Non fermarti alla scomparsa di un singolo file sospetto.

1. Esegui una scansione di sicurezza con uno strumento affidabile, come Wordfence o Sucuri.
2. Verifica i file del core di WordPress con wp core verify-checksums.
3. Verifica i file dei plugin con wp plugin verify-checksums --all. Non tutti i plugin, soprattutto quelli premium, dispongono di checksum verificabili: in questi casi confronta i file con una copia pulita ottenuta dalla fonte ufficiale.
4. Monitora le connessioni in uscita e cerca attività sospette nei giorni successivi.
5. Controlla se ricompaiono i file eliminati.

wp core verify-checksums
wp plugin verify-checksums --all

wp core verify-checksums
wp plugin verify-checksums --all

Se i file tornano o noti attività insolite, la bonifica potrebbe essere incompleta. Riprendi il controllo delle modifiche malevole dal passaggio 2 e coinvolgi il provider o un professionista della sicurezza.

Indicatori da cercare durante l’analisi

Tieni distinti gli indicatori specifici dell’incidente dai comportamenti che richiedono un’analisi del contesto. Nei domini scritti con [.], le parentesi interrompono l’indirizzo per evitare collegamenti accidentali; nei filtri di rete usa il punto normale.

• Dominio contattato dal malware: rank1cdn[.]com.
• Opzioni nel database: _uf6qdn2hmm, t8krdk990phb, _np5pvf754c.
• Stringa nel codice: xmmqhn.
• File che imita il core: wp-includes/class-wp-cache-util.php.
• Prefisso degli account sospetti: wpsupport_, seguito da caratteri casuali.
• Dominio email degli account sospetti: @wp-mail[.]net.
• Marcatore nelle attività di sistema: #ms6v46.
• Schemi di codice da esaminare: base64_decode insieme a cicli XOR, proc_open e comunicazioni tramite socket di PHP-FPM.
• Regole e file da esaminare: direttive in .htaccess che eseguono .cache come PHP e file .cache che contengono codice PHP.

Installa la versione pulita senza passare dalle email

Dopo aver completato il percorso di recupero adatto al tuo caso, installa Rank Math PRO 3.0.124. Digita direttamente rankmath.com nel browser, accedi all’account e scarica il plugin dalla sezione dei download. Alcuni utenti potrebbero dover reimpostare la password dell’account per riuscire ad accedere.

Evita i siti di redistribuzione non ufficiali, compresi quelli che distribuiscono plugin con licenza GPL, la licenza libera usata nell’ecosistema WordPress: potrebbero conservare ancora copie della 3.0.123. Scarica il pacchetto dall’account del produttore, non da un archivio di terze parti.

Che cosa cambiare nella gestione dei siti

Un fornitore commerciale affidabile può distribuire un pacchetto compromesso: la provenienza ufficiale resta essenziale, ma non sostituisce backup e controlli. Per chi gestisce più installazioni, questo incidente rende particolarmente importante conoscere non soltanto la versione attuale, ma anche quando ciascun sito ha ricevuto un aggiornamento.

• Valuta gli aggiornamenti automatici dei plugin premium come una scelta con benefici e rischi. Accelerano la distribuzione delle correzioni, ma possono distribuire rapidamente anche un pacchetto ufficiale compromesso.
• Conserva backup fuori dal server del sito e mantieni più copie nel tempo. Devi poter recuperare una versione precedente all’inizio dell’incidente, non soltanto l’ultimo stato disponibile.
• Monitora e, dove possibile, limita le connessioni in uscita del server web. Includi questo controllo sia nella risposta all’incidente sia nella gestione ordinaria.
• Verifica i checksum disponibili. Per i componenti privi di checksum, confronta i file con copie pulite scaricate dai canali ufficiali.
• Mantieni il controllo sul canale di download. Non usare collegamenti inattesi ricevuti per email e non recuperare il pacchetto da siti di redistribuzione.

Se hai dubbi sull’esposizione o sul percorso di recupero, apri un ticket al supporto Rank Math e indica la versione coinvolta e i passaggi già completati. Per un sito che ha attivato il pacchetto compromesso, completa il ripristino o la bonifica, sostituisci le credenziali e continua a controllare file e connessioni nei giorni successivi.