---
title: "Rank Math PRO 3.0.123: attacco alla distribuzione degli aggiornamenti e bonifica"
url: "https://helloblog.io/it/rank-math-pro-3-0-123-attacco-aggiornamenti-bonifica/"
date: "2026-10-17"
modified: "2026-10-17"
author: "Marco Bianchi"
language: "it_IT"
categories: ["Sicurezza"]
tags: ["Malware", "Rank Math", "Supply chain", "WordPress", "WP-CLI"]
featured_image: "https://helloblog.io/app/uploads/sites/6/2026/10/featured-1024x576.webp"
excerpt: "Alcuni pacchetti ufficiali di Rank Math PRO 3.0.123 contenevano malware. La versione 3.0.124 è pulita, ma aggiornare non basta se il codice malevolo ha già creato accessi persistenti."
---

# Rank Math PRO 3.0.123: attacco alla distribuzione degli aggiornamenti e bonifica

Se hai scaricato o aggiornato **Rank Math PRO 3.0.123 tra il 15 ottobre 2026 alle 20:02 UTC e il 16 ottobre 2026 alle 07:12 UTC**, devi verificare quale pacchetto hai installato e se lo hai attivato. In quella finestra, durata circa undici ore, alcuni pacchetti distribuiti attraverso i canali ufficiali contenevano malware. In Italia, con l’ora legale CEST, l’intervallo va dalle **22:02 del 15 ottobre alle 09:12 del 16 ottobre 2026**.

Rank Math ha rimosso i pacchetti compromessi e pubblicato **Rank Math PRO 3.0.124**, una versione pulita. L’aggiornamento sostituisce i file del plugin, ma non elimina gli eventuali file, account amministratore o processi pianificati che il malware ha già creato altrove. Se hai attivato una copia coinvolta, tratta il sito come compromesso.

## Che cosa è successo

Il malware era dentro il pacchetto ufficiale del plugin: questo è un **attacco alla catena di distribuzione**, o supply chain, non un difetto nel codice legittimo da correggere con una normale modifica. L’incidente riguarda l’estensione PRO; l’avviso non indica il plugin gratuito Rank Math tra i prodotti coinvolti. Rank Math non ha pubblicato come gli aggressori abbiano alterato i pacchetti, né dati sul numero di siti compromessi o informazioni che permettano di attribuire l’attacco.

La scheda di Wordfence Intelligence identifica il problema come **CVE-2026-111862**, dove CVE indica l’identificativo pubblico della vulnerabilità, e lo classifica come codice malevolo incorporato che non richiede autenticazione. Il punteggio **CVSS, il sistema di valutazione della gravità delle vulnerabilità, è 9,8: critico**. La versione interessata è la 3.0.123, limitatamente ai pacchetti coinvolti; la versione pulita è la 3.0.124.

Il codice malevolo entra in esecuzione quando attivi il plugin e può creare accessi persistenti, cioè punti di ingresso che restano disponibili anche dopo la sostituzione del pacchetto. Comunica con il dominio `rank1cdn[.]com` e può ricreare backdoor nascoste, ossia accessi non autorizzati, quando qualcuno visita il sito. Considera esposte le credenziali di WordPress, quelle del database, le chiavi API e qualsiasi altro segreto che il processo del server web poteva leggere.

## Chi deve intervenire: i tre casi da distinguere

Apri **Plugin** nella Bacheca di WordPress e controlla la versione installata di Rank Math PRO. Il solo numero **3.0.123 non dimostra una compromissione**: conta se hai ottenuto il pacchetto nella finestra indicata e se lo hai attivato.

1. **Hai installato e attivato la copia coinvolta della 3.0.123:** tratta il sito come compromesso e segui uno dei percorsi di recupero descritti sotto.
2. **Hai installato la copia coinvolta della 3.0.123, ma non l’hai mai attivata:** elimina i file del plugin, installa la versione pulita 3.0.124 dal tuo account Rank Math ed esegui una scansione di sicurezza per precauzione.
3. **Hai scaricato la 3.0.123 senza installarla né attivarla:** questo incidente, da solo, non indica che il sito sia compromesso. Se non riesci a ricostruire se qualcuno abbia installato o attivato quei file, contatta il supporto.

Rank Math conserva i dati dei download coinvolti e avvisa gli utenti interessati. Se hai ricevuto una notifica, segui il percorso adatto anche se oggi il sito usa un’altra versione: la versione attuale non ricostruisce ciò che il malware potrebbe aver fatto prima.

### Controlli iniziali con WP-CLI

**WP-CLI è l’interfaccia a riga di comando per amministrare WordPress**. Dalla directory dell’installazione puoi controllare versione, opzioni sospette, amministratori, integrità del core e attività pianificate. Lo slug, cioè l’identificativo del plugin, è `seo-by-rank-math-pro`.

```
wp plugin get seo-by-rank-math-pro --field=version

# Cerca le tre opzioni associate al malware.
wp option get _uf6qdn2hmm
wp option get t8krdk990phb
wp option get _np5pvf754c

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
wp core verify-checksums
wp cron event list

# Controlla il falso file del core e cerca una stringa indicatrice.
ls -la wp-includes/class-wp-cache-util.php
grep -RIn --include='*.php' 'xmmqhn' wp-content/

# Usa l'utente effettivo del server web e i permessi necessari.
crontab -l -u www-data | grep 'ms6v46'
```

#### Questi controlli non certificano la bonifica

Un risultato negativo non dimostra da solo che il sito sia pulito. I comandi servono a raccogliere indizi, non rimuovono il malware e non sostituiscono i controlli sul server. Non cancellare file isolati prima di aver bloccato il meccanismo che li ricrea.

## Percorso 1: ripristina un backup pulito

Se hai attivato il pacchetto compromesso, il percorso raccomandato è ripristinare **sia i file del sito sia il database** da un backup precedente all’inizio dell’incidente. Il limite temporale è il **15 ottobre 2026 alle 20:02 UTC**, equivalente alle **22:02 CEST**, alle **16:02 EDT** e al **16 ottobre alle 01:32 IST**.

1. **Ripristina sito e database** da un backup creato prima dell’inizio della finestra coinvolta.
2. **Esegui una scansione di sicurezza** con uno strumento affidabile, come [Wordfence](https://wordpress.org/plugins/wordfence/) o [Sucuri](https://wordpress.org/plugins/sucuri-scanner/).
3. **Sostituisci tutte le password e le credenziali potenzialmente esposte**, comprese quelle del database e le chiavi API. Usa la checklist dedicata più avanti per controllare ogni categoria di segreto.
4. **Installa Rank Math PRO 3.0.124**, scaricandolo dal tuo account Rank Math dopo il ripristino.

Chiedi assistenza al provider di hosting se non sai come ripristinare il backup. Il ripristino non annulla un’eventuale sottrazione di credenziali: devi sostituirle anche quando recuperi una copia del sito precedente all’attacco.

## Percorso 2: bonifica manualmente il sito

Se non puoi recuperare un backup pulito, devi rimuovere il malware e cercare le altre modifiche introdotte dall’aggressore. **Rispetta l’ordine dei passaggi**: una visita al sito può innescare la ricreazione delle backdoor, quindi cancellare prima i file sospetti può non risolvere il problema.

Affida questo percorso al provider di hosting o a un professionista della sicurezza se non hai dimestichezza con file, database e configurazione del server. Il controllo non riguarda soltanto WordPress: l’aggressore potrebbe aver scritto anche fuori dalla directory del sito.

### 1. Blocca il meccanismo che ricrea il malware

Completa tutte le azioni seguenti prima di cercare e rimuovere le altre modifiche malevole. **Disattivare il plugin non basta**: devi eliminare l’intera cartella del componente compromesso e le opzioni indicate.

1. **Elimina tutta la cartella di Rank Math PRO.** Usa il gestore dei file dell’hosting oppure FTP, il protocollo di trasferimento dei file. La procedura di recupero indica la cartella `rank-math-pro`: individua la directory effettiva del componente PRO nella tua installazione.
2. **Elimina le opzioni malevole dal database.** Apri il database di WordPress con uno strumento come phpMyAdmin e cerca nella tabella `wp_options` le righe il cui campo `option_name` corrisponde a `_uf6qdn2hmm`, `t8krdk990phb` oppure `_np5pvf754c`. Elimina ogni corrispondenza; se l’installazione usa un prefisso diverso da `wp_`, controlla la relativa tabella delle opzioni.
3. **Blocca le connessioni in uscita verso `rank1cdn.com`**, se il provider o il firewall permettono questo controllo.

### 2. Cerca le backdoor e le altre modifiche

Controlla separatamente file, account, regole del server e attività pianificate. Gli **indicatori di compromissione**, spesso abbreviati in IOC, sono tracce utili per questa ricerca; non limitare però la verifica al primo indicatore trovato.

#### File PHP nascosti

Cerca file PHP sospetti nelle posizioni elencate sotto. Un plugin di sicurezza o il provider possono aiutarti a individuare il codice malevolo e rimuoverlo.

- `wp-content/mu-plugins/`, la directory dei plugin che WordPress carica automaticamente.
- Le cartelle degli altri plugin.
- Le cartelle `inc/`, `includes/` e `lib/` dei temi diversi da quelli predefiniti.
- La cartella `includes/` di Rank Math.

Cerca codice che combini `base64_decode` con cicli XOR, cioè operazioni logiche spesso usate per offuscare il contenuto, oppure che contenga la chiave `xmmqhn`. Controlla anche l’uso di `proc_open`, la funzione PHP che avvia processi, e il codice che comunica con i socket di **PHP-FPM**, il gestore dei processi PHP. Valuta il contesto prima di eliminare un file: una singola funzione non dimostra da sola che il codice sia malevolo.

#### Account amministratore sconosciuti

Esamina tutti gli utenti con privilegi di amministratore e verifica gli account che non riconosci. Cerca in particolare nomi che iniziano con `wpsupport_` seguiti da caratteri casuali e indirizzi email con dominio `@wp-mail[.]net`. Elimina gli account che confermi come malevoli o non autorizzati.

```
wp user list --role=administrator
```

#### Un falso file del core di WordPress

**`wp-includes/class-wp-cache-util.php` non è un file legittimo del core di WordPress.** Se lo trovi, rimuovilo ed esegui il controllo dei checksum, le impronte con cui confrontare i file con le copie ufficiali. Reinstalla poi i file del core da una fonte ufficiale per eliminare anche eventuali altre alterazioni.

```
wp core verify-checksums
```

#### Regole in .htaccess e file .cache

Esamina il file `.htaccess` nella directory principale del sito e nelle sottodirectory. Cerca regole che permettono al server di eseguire i file con estensione `.cache` come codice PHP. Cerca inoltre sul server i file `.cache` che contengono PHP e approfondisci ogni risultato sospetto.

#### Attività pianificate di sistema e di WordPress

Controlla il **crontab**, l’elenco delle attività pianificate di sistema, dell’utente che esegue il server web. Cerca le voci contrassegnate da `#ms6v46`. Esamina separatamente gli eventi pianificati di WordPress e rimuovi le attività che confermi come malevole.

```
# Sostituisci www-data se il server web usa un altro utente.
crontab -l -u www-data | grep 'ms6v46'

# Elenca gli eventi pianificati da WordPress.
wp cron event list
```

#### Altri plugin, temi e file caricati

- Reinstalla plugin e temi dalle rispettive fonti ufficiali e confronta i file con copie pulite quando possibile.
- Controlla la directory `uploads/` e cerca file PHP, che normalmente non dovrebbero trovarsi lì.
- Esamina i file inattesi o modificati prima di cancellarli.

#### Modifiche fuori da WordPress

Allarga il controllo all’ambiente del server: l’aggressore potrebbe aver lasciato accessi o processi fuori dall’installazione. Verifica ciascuna delle aree seguenti.

- I file `authorized_keys` di SSH, il protocollo per l’accesso remoto sicuro, che contengono le chiavi autorizzate a collegarsi.
- I crontab degli altri utenti di sistema.
- I processi in esecuzione.
- Le directory esterne al sito nelle quali l’utente del server web può scrivere.

Se usi un hosting condiviso e non puoi accedere a queste aree, chiedi al provider di controllarle. La mancanza di accesso dal pannello di WordPress non esclude modifiche sul server.

### 3. Sostituisci password, chiavi e credenziali

Dopo aver rimosso i meccanismi malevoli, sostituisci i segreti che il sito compromesso poteva leggere con valori nuovi e sicuri. **Questo passaggio serve anche dopo un ripristino da backup**: recuperare i file non rende inutilizzabili le credenziali eventualmente sottratte.

- **Tutte le password pertinenti:** cambia le password degli account WordPress e delle altre credenziali accessibili al sito compromesso.
- **Credenziali del database:** aggiorna nome utente e password del database configurati in `wp-config.php`.
- **Chiavi di sicurezza e salt di WordPress:** rigenera in `wp-config.php` le chiavi e i valori casuali che WordPress usa per proteggere l’autenticazione.
- **Chiavi API e credenziali dei servizi:** sostituisci le chiavi dei servizi di pagamento, le credenziali SMTP per l’invio delle email, le chiavi delle API, cioè le interfacce di programmazione dei servizi, e gli altri segreti salvati nelle impostazioni o nei file di configurazione.
- **Accessi all’hosting e al server:** cambia le password o le credenziali del pannello di hosting, di FTP/SFTP e di SSH. SFTP permette di trasferire file tramite SSH. Esamina anche i segreti presenti nelle variabili d’ambiente.
- **Autenticazione a due fattori:** controlla la configurazione degli account amministratore e reimpostala dove necessario.

Aggiorna la configurazione del sito e i servizi collegati ovunque richiedano i nuovi valori. Se non riesci a ricostruire quali credenziali fossero accessibili, chiedi al provider o al professionista che segue la bonifica di completare l’inventario.

### 4. Verifica che la bonifica abbia funzionato

Concludi la pulizia con controlli distinti su malware, integrità dei file e comportamento del sito. Non fermarti alla scomparsa di un singolo file sospetto.

1. **Esegui una scansione di sicurezza** con uno strumento affidabile, come Wordfence o Sucuri.
2. **Verifica i file del core di WordPress** con `wp core verify-checksums`.
3. **Verifica i file dei plugin** con `wp plugin verify-checksums --all`. Non tutti i plugin, soprattutto quelli premium, dispongono di checksum verificabili: in questi casi confronta i file con una copia pulita ottenuta dalla fonte ufficiale.
4. **Monitora le connessioni in uscita** e cerca attività sospette nei giorni successivi.
5. **Controlla se ricompaiono i file eliminati.**

```
wp core verify-checksums
wp plugin verify-checksums --all
```

Se i file tornano o noti attività insolite, la bonifica potrebbe essere incompleta. Riprendi il controllo delle modifiche malevole dal passaggio 2 e coinvolgi il provider o un professionista della sicurezza.

## Indicatori da cercare durante l’analisi

Tieni distinti gli indicatori specifici dell’incidente dai comportamenti che richiedono un’analisi del contesto. Nei domini scritti con `[.]`, le parentesi interrompono l’indirizzo per evitare collegamenti accidentali; nei filtri di rete usa il punto normale.

- **Dominio contattato dal malware:** `rank1cdn[.]com`.
- **Opzioni nel database:** `_uf6qdn2hmm`, `t8krdk990phb`, `_np5pvf754c`.
- **Stringa nel codice:** `xmmqhn`.
- **File che imita il core:** `wp-includes/class-wp-cache-util.php`.
- **Prefisso degli account sospetti:** `wpsupport_`, seguito da caratteri casuali.
- **Dominio email degli account sospetti:** `@wp-mail[.]net`.
- **Marcatore nelle attività di sistema:** `#ms6v46`.
- **Schemi di codice da esaminare:** `base64_decode` insieme a cicli XOR, `proc_open` e comunicazioni tramite socket di PHP-FPM.
- **Regole e file da esaminare:** direttive in `.htaccess` che eseguono `.cache` come PHP e file `.cache` che contengono codice PHP.

## Installa la versione pulita senza passare dalle email

Dopo aver completato il percorso di recupero adatto al tuo caso, installa **Rank Math PRO 3.0.124**. Digita direttamente `rankmath.com` nel browser, accedi all’account e scarica il plugin dalla sezione dei download. Alcuni utenti potrebbero dover reimpostare la password dell’account per riuscire ad accedere.

#### Attenzione ai messaggi di phishing

Rank Math dichiara che non invia via email link per accedere all’account o scaricare il plugin. Tratta come sospetti i messaggi non richiesti che chiedono di aprire un collegamento per reimpostare la password o scaricare un aggiornamento. Per entrambe le operazioni, raggiungi direttamente il sito del produttore.

Evita i siti di redistribuzione non ufficiali, compresi quelli che distribuiscono plugin con licenza GPL, la licenza libera usata nell’ecosistema WordPress: potrebbero conservare ancora copie della 3.0.123. Scarica il pacchetto dall’account del produttore, non da un archivio di terze parti.

## Che cosa cambiare nella gestione dei siti

Un fornitore commerciale affidabile può distribuire un pacchetto compromesso: la provenienza ufficiale resta essenziale, ma non sostituisce backup e controlli. Per chi gestisce più installazioni, questo incidente rende particolarmente importante conoscere non soltanto la versione attuale, ma anche quando ciascun sito ha ricevuto un aggiornamento.

- **Valuta gli aggiornamenti automatici dei plugin premium come una scelta con benefici e rischi.** Accelerano la distribuzione delle correzioni, ma possono distribuire rapidamente anche un pacchetto ufficiale compromesso.
- **Conserva backup fuori dal server del sito e mantieni più copie nel tempo.** Devi poter recuperare una versione precedente all’inizio dell’incidente, non soltanto l’ultimo stato disponibile.
- **Monitora e, dove possibile, limita le connessioni in uscita del server web.** Includi questo controllo sia nella risposta all’incidente sia nella gestione ordinaria.
- **Verifica i checksum disponibili.** Per i componenti privi di checksum, confronta i file con copie pulite scaricate dai canali ufficiali.
- **Mantieni il controllo sul canale di download.** Non usare collegamenti inattesi ricevuti per email e non recuperare il pacchetto da siti di redistribuzione.

Se hai dubbi sull’esposizione o sul percorso di recupero, [apri un ticket al supporto Rank Math](https://rankmath.com/support/) e indica la versione coinvolta e i passaggi già completati. Per un sito che ha attivato il pacchetto compromesso, completa il ripristino o la bonifica, sostituisci le credenziali e continua a controllare file e connessioni nei giorni successivi.

## Riferimenti / Fonti

- [Rank Math PRO 3.0.123 Security Incident: How to Secure Your Website](https://rankmath.com/kb/pro-3-0-123-security-incident/)
- [Rank Math SEO PRO 3.0.123 supply chain attack: malware in official update packages](https://www.wordfence.com/blog/2026/10/rank-math-seo-pro-3-0-123-malware/)
- [Rank Math SEO PRO 3.0.123 – Unauthenticated Embedded Malicious Code](https://www.wordfence.com/threat-intel/vulnerabilities/id/81cd7a2c-ad0c-4dbc-b5dc-07ec866d5c1f)