Rank Math SEO PRO 3.0.123: kenkėjiškas kodas oficialiuose paketuose ir svetainės atkūrimo veiksmai

Dalis oficialių Rank Math SEO PRO 3.0.123 paketų, kuriuos vartotojai atsisiuntė arba gavo atnaujindami įskiepį, turėjo kenkėjiško kodo. Pavojingas laikotarpis prasidėjo 2026 m. spalio 15 d. 20:02 UTC ir baigėsi spalio 16 d. 07:12 UTC – truko maždaug 11 valandų. Rank Math pašalino užkrėstus failus ir išleido švarią 3.0.124 versiją.

Jei tuo metu gavote paveiktą paketą ir jį aktyvavote, laikykite svetainę kompromituota. Atnaujinimas į 3.0.124 pakeičia įskiepio paketą, bet nepašalina kitur sukurtų failų, administratorių paskyrų ar suplanuotų užduočių. Toliau svarbu ne tik įdiegti švarų įskiepį, bet ir pašalinti likusius prieigos būdus.

Kas nutiko ir kuo šis incidentas skiriasi nuo įprastos spragos

Tai tiekimo grandinės ataka: kenkėjiškas kodas pateko į oficialų paketą, kurį vartotojai laikė patikimu. Problema kilo ne dėl įprastos programavimo klaidos įskiepyje. Rank Math nepaskelbė, kaip paketai buvo pakeisti; taip pat nėra duomenų, kuriais būtų galima pagrįsti užpuoliko tapatybę ar nukentėjusių svetainių skaičių.

Incidentui suteiktas pažeidžiamumo identifikatorius CVE-2026-111862. Pagal CVSS, bendrąją pažeidžiamumų vertinimo sistemą, jo įvertis yra 9,8 – kritinis. Pranešimas apima tik mokamą PRO priedą: nemokamas Rank Math įskiepis nenurodytas kaip paveiktas.

Kenkėjiškas kodas pradeda veikti aktyvavus įskiepį, gali palikti nuolatinę prieigą ir susisiekia su domenu rank1cdn[.]com. Kai kas nors apsilanko svetainėje, jis gali iš naujo sukurti paslėptus prieigos failus. Pavojus apima WordPress prisijungimo duomenis, duomenų bazės prisijungimo duomenis, API – programavimo sąsajų – raktus ir kitas paslaptis, kurias gali perskaityti žiniatinklio serveris.

Kaip nustatyti, ar svetainė paveikta

Pirmiausia WordPress administravimo srityje atverkite Įskiepiai ir patikrinkite Rank Math PRO versiją. Vien numeris 3.0.123 neįrodo užkrėtimo: paveikta tik dalis paketų, gautų nurodytu laikotarpiu. Vidurio Europos vasaros laiku tai buvo spalio 15 d. 22:02–spalio 16 d. 09:12 CEST.

1. Paveiktą 3.0.123 paketą įdiegėte ir aktyvavote. Laikykite svetainę kompromituota ir atlikite toliau aprašytus atkūrimo veiksmus.
2. Paveiktą 3.0.123 paketą įdiegėte, bet niekada neaktyvavote. Ištrinkite jo failus, iš savo Rank Math paskyros įdiekite švarią 3.0.124 versiją ir dėl atsargumo patikrinkite svetainę saugumo priemone.
3. Paveiktą 3.0.123 paketą tik atsisiuntėte, bet neįdiegėte ir neaktyvavote. Vien šis incidentas nerodo, kad svetainė buvo kompromituota. Jei neaišku, ar failus buvote įdiegę arba įskiepį aktyvavę, kreipkitės į Rank Math pagalbą.

Rank Math turi įrašus, kurie vartotojai atsisiuntė paveiktus paketus, ir jiems siunčia pranešimus. Jei tokį pranešimą gavote, atlikite savo situacijai tinkamus veiksmus, net jei dabar naudojate kitą įskiepio versiją.

Atkūrimas iš švarios atsarginės kopijos

Jei aktyvavote paveiktą paketą, rekomenduojamas kelias – atkurti svetainės failus ir duomenų bazę iš kopijos, sukurtos iki incidento pradžios. Kopija turi būti ankstesnė nei 2026 m. spalio 15 d. 20:02 UTC. Tas pats momentas kitose laiko juostose: spalio 15 d. 22:02 CEST, spalio 15 d. 16:02 EDT ir spalio 16 d. 01:32 IST.

1. Atkurkite svetainės failus ir duomenų bazę iš kopijos, sukurtos iki paveikto laikotarpio.
2. Patikrinkite svetainę saugumo priemone, pavyzdžiui, Wordfence arba Sucuri.
3. Pakeiskite visus slaptažodžius ir prisijungimo duomenis. Laikykite svetainėje buvusias paslaptis atskleistomis: pakeiskite ir duomenų bazės prisijungimo duomenis, API raktus bei kitus toliau išvardytus duomenis.
4. Įdiekite švarią Rank Math PRO 3.0.124 versiją, kurią atsisiųsite iš savo Rank Math paskyros. Tai atlikite jau atkūrę svetainę.

Jei nežinote, kaip atkurti kopiją, kreipkitės į savo hostingo tiekėją. Net sėkmingai atkūrę svetainę nepraleiskite paslapčių keitimo: atsarginė kopija neatšaukia duomenų, kuriuos užpuolikas jau galėjo perskaityti.

Rankinis valymas: pirmiausia sustabdykite kodo atkūrimą

Jei švarios kopijos neturite arba negalite jos atkurti, reikės pašalinti kenkėjišką kodą ir patikrinti kitus užpuoliko pakeitimus. Jei nesijaučiate užtikrintai dirbdami su failais, duomenų baze ar serverio nustatymais, šiuos darbus patikėkite hostingo tiekėjui arba saugumo specialistui.

1. Pašalinkite mechanizmą, kuris atkuria kenkėjiškus failus

Vien išjungti įskiepį nepakanka. Pašalinkite jo failus, susijusius duomenų bazės įrašus ir, jei infrastruktūra palaiko tokią taisyklę, užblokuokite ryšį su kenkėjišku domenu.

1. Ištrinkite visą Rank Math PRO aplanką. Per hostingo failų tvarkyklę arba FTP – failų perdavimo protokolą – suraskite ir pašalinkite rank-math-pro aplanką.
2. Pašalinkite kenkėjiškus įrašus iš duomenų bazės. Atverkite ją, pavyzdžiui, per phpMyAdmin. Lentelėje wp_options raskite ir ištrinkite įrašus, kurių option_name yra _uf6qdn2hmm, t8krdk990phb arba _np5pvf754c. Jei naudojate kitą lentelių priešdėlį, pasirinkite atitinkamą options lentelę.
3. Jei galite, užblokuokite išeinančius ryšius su rank1cdn.com. Tam naudokite hostingo tiekėjo arba ugniasienės priemones.

2. Suraskite kitus užpuoliko pakeitimus

Užpuolikas galėjo palikti papildomų failų, paskyrų ir serverio lygmens pakeitimų. Patikrinkite kiekvieną iš toliau nurodytų sričių, net jei pašalinus įskiepį svetainė atrodo tvarkinga.

Paslėpti prieigos failai ir užkrėtimo požymiai

Ieškokite įtartinų PHP failų ne tik Rank Math aplanke. Užkrėtimo indikatoriai – konkretūs failai, įrašai ar kodo fragmentai, pagal kuriuos galite atpažinti šio incidento pėdsakus – padės susiaurinti paiešką.

• Patikrinkite wp-content/mu-plugins/.
• Patikrinkite kitų įskiepių aplankus.
• Patikrinkite ne numatytųjų temų aplankus inc/, includes/ ir lib/.
• Patikrinkite Rank Math aplanką includes/.
• Ieškokite PHP kodo, kuriame base64_decode derinamas su XOR – bitinės išskirtinės disjunkcijos – ciklais.
• Ieškokite rakto xmmqhn.
• Patikrinkite kodą su proc_open ir PHP-FPM lizdais, per kuriuos procesai gali bendrauti tarpusavyje.

Saugumo įskiepis arba hostingo tiekėjas gali padėti surasti šiuos požymius ir pašalinti kenkėjiškus failus. Atskirą kodo fragmentą vertinkite kartu su jo paskirtimi ir aplinka, o ne trinkite failą vien dėl paieškos atitikmens.

Nežinomos administratorių paskyros

Peržiūrėkite visas WordPress paskyras, kurios turi administratoriaus teises. Ypač atkreipkite dėmesį į vardus su priešdėliu wpsupport_ ir atsitiktiniais simboliais bei el. pašto adresus, kurie baigiasi @wp-mail[.]net. Pašalinkite paskyras, kai patvirtinate, kad jos kenkėjiškos arba sukurtos be leidimo.

Suklastotas WordPress core failas

Failas wp-includes/class-wp-cache-util.php nėra teisėtas WordPress core failas. Jei jį radote, pašalinkite ir paleiskite wp core verify-checksums, kad patikrintumėte core failų kontrolines sumas. Taip pat iš oficialaus šaltinio iš naujo įdiekite WordPress core failus, kad neliktų kitų pakeistų failų.

Failai .htaccess ir .cache

Patikrinkite .htaccess svetainės šakniniame aplanke ir poaplankiuose. Ieškokite taisyklių, pagal kurias serveris .cache failus vykdo kaip PHP kodą. Serveryje taip pat suraskite .cache failus su PHP kodu ir ištirkite įtartinus rezultatus.

Suplanuotos užduotys

Peržiūrėkite žiniatinklio serverio vartotojo crontab – sisteminių suplanuotų užduočių sąrašą – ir ieškokite žymos #ms6v46. Atskirai patikrinkite WordPress suplanuotus įvykius komanda wp cron event list. Ištirkite įtartinas užduotis ir pašalinkite tas, kurios kenkėjiškos.

Kiti įskiepiai, temos ir įkelti failai

• Iš naujo įdiekite įskiepius ir temas iš oficialių šaltinių. Kur įmanoma, palyginkite esamus failus su švariomis kopijomis.
• Patikrinkite uploads/ aplanką ir ieškokite PHP failų – įprastai jų ten neturėtų būti.
• Prieš trindami netikėtus arba pakeistus failus, išsiaiškinkite jų paskirtį.

Serverio aplinka už WordPress ribų

Pakeitimai gali apimti ne vien svetainės aplanką. Patikrinkite toliau nurodytas vietas, o jei bendrame hostinge jų nepasiekiate, paprašykite tiekėjo tai padaryti.

• SSH, saugaus nuotolinio prisijungimo protokolo, failus authorized_keys.
• Kitų sistemos vartotojų crontab užduotis.
• Veikiančius procesus.
• Vietas už svetainės aplanko ribų, kur žiniatinklio serverio vartotojas turi rašymo teises.

Komandos greitai patikrai

WP-CLI yra komandų eilutės įrankis WordPress administruoti. Šios komandos padės patikrinti versiją, žinomus duomenų bazės įrašus, paskyras ir dalį failų, tačiau jos nepakeičia visos patikros ir nieko automatiškai neišvalo.

# Vykdykite WordPress dieginio aplanke.
wp plugin get seo-by-rank-math-pro --field=version

# Patikrinkite kiekvieną žinomą kenkėjiško įrašo pavadinimą.
wp option get _uf6qdn2hmm
wp option get t8krdk990phb
wp option get _np5pvf754c

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
wp core verify-checksums
wp cron event list

# Patikrinkite suklastotą core failą ir ieškokite žinomo rakto.
ls -la wp-includes/class-wp-cache-util.php
grep -RIn -- 'xmmqhn' wp-content/

# www-data pakeiskite tikruoju žiniatinklio serverio vartotoju.
# Šiai komandai gali reikėti papildomų sistemos teisių.
crontab -l -u www-data | grep -- 'ms6v46'

# Vykdykite WordPress dieginio aplanke.
wp plugin get seo-by-rank-math-pro --field=version

# Patikrinkite kiekvieną žinomą kenkėjiško įrašo pavadinimą.
wp option get _uf6qdn2hmm
wp option get t8krdk990phb
wp option get _np5pvf754c

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
wp core verify-checksums
wp cron event list

# Patikrinkite suklastotą core failą ir ieškokite žinomo rakto.
ls -la wp-includes/class-wp-cache-util.php
grep -RIn -- 'xmmqhn' wp-content/

# www-data pakeiskite tikruoju žiniatinklio serverio vartotoju.
# Šiai komandai gali reikėti papildomų sistemos teisių.
crontab -l -u www-data | grep -- 'ms6v46'

3. Pakeiskite slaptažodžius, raktus ir kitas paslaptis

Laikykite visas kompromituotai svetainei pasiekiamas paslaptis galimai atskleistomis. Šį etapą atlikite ir tada, kai svetainę atkūrėte iš švarios kopijos. Kiekvieną seną reikšmę pakeiskite nauja ir saugia.

• Visi susiję slaptažodžiai. Pakeiskite WordPress paskyrų slaptažodžius ir kitus prisijungimo duomenis, kuriuos galėjo pasiekti kompromituota svetainė.
• Duomenų bazės prisijungimo duomenys. Pakeiskite duomenų bazės vartotojo vardą ir slaptažodį, kuriuos nurodote wp-config.php.
• WordPress saugumo raktai ir salts reikšmės. Iš naujo sugeneruokite jas faile wp-config.php; tai slaptos reikšmės, kuriomis WordPress saugo autentifikavimo duomenis.
• API raktai ir paslaugų prisijungimo duomenys. Pakeiskite mokėjimo paslaugų raktus, SMTP – el. pašto siuntimo protokolo – prisijungimo duomenis, API raktus ir kitas paslaptis svetainės nustatymuose ar konfigūracijos failuose.
• Hostingo ir serverio prieiga. Pakeiskite hostingo valdymo skydo, FTP, SFTP – saugaus failų perdavimo – ir SSH slaptažodžius ar kitus prieigos duomenis. Peržiūrėkite ir paslaptis aplinkos kintamuosiuose.
• Dviejų veiksnių autentifikavimas. Peržiūrėkite administratorių paskyrų nustatymus ir prireikus juos nustatykite iš naujo.

Naujus duomenis įrašykite visur, kur jų reikia svetainės konfigūracijai ir prijungtoms paslaugoms. Jei neaišku, kokias paslaptis galėjo pasiekti svetainė, paprašykite hostingo tiekėjo arba saugumo specialisto padėti jas inventorizuoti.

4. Patikrinkite, ar neliko užkrato

Baigę valyti patikrinkite failų vientisumą ir stebėkite, ar neatsinaujina įtartina veikla. Vienkartinis sėkmingas skenavimas nepakeičia stebėjimo per artimiausias dienas.

1. Paleiskite saugumo patikrą su patikima priemone, pavyzdžiui, Wordfence arba Sucuri.
2. Patikrinkite WordPress core failus komanda wp core verify-checksums.
3. Patikrinkite įskiepių failus komanda wp plugin verify-checksums --all. Ne visi įskiepiai turi prieinamas kontrolines sumas, ypač mokami. Jei jų nėra, failus palyginkite su švaria kopija iš oficialaus šaltinio.
4. Artimiausiomis dienomis stebėkite išeinančius ryšius ir kitą įtartiną veiklą.
5. Patikrinkite, ar ištrinti failai neatsiranda iš naujo.

Jei failai sugrįžta arba pastebite neįprastą veiklą, valymas galėjo likti neužbaigtas. Grįžkite prie antrojo rankinio valymo etapo ir paprašykite hostingo tiekėjo arba saugumo specialisto išsamiau ištirti aplinką.

Švarią 3.0.124 versiją atsisiųskite tik iš savo paskyros

Užbaigę savo situacijai tinkamus atkūrimo veiksmus, įdiekite Rank Math PRO 3.0.124. Naršyklėje tiesiogiai atverkite rankmath.com, prisijunkite prie savo paskyros ir atsisiuntimų skiltyje pasiimkite naują paketą. Kai kuriems vartotojams gali reikėti iš naujo nustatyti paskyros slaptažodį.

Neoficialios svetainės ir platintojai, perskirstantys įskiepius pagal GPL – bendrąją viešąją licenciją – vis dar gali siūlyti 3.0.123 kopijas. Paketą atsisiųskite iš savo paskyros pas gamintoją, o ne iš trečiosios šalies katalogo.

Jei reikia padėti pasirinkti atkūrimo kelią arba liko abejonių dėl svetainės, kreipkitės adresu support@rankmath.com arba pateikite pagalbos užklausą. Nurodykite Rank Math PRO versiją ir konkrečius veiksmus, kuriuos jau atlikote.

Ką peržiūrėti savo priežiūros procese

Oficialus atsisiuntimo kanalas ir komercinis tiekėjas savaime neapsaugo nuo tiekimo grandinės atakos. Automatiniai mokamų įskiepių atnaujinimai turi abi puses: jie padeda greitai gauti pataisas, bet gali taip pat greitai įdiegti paveiktą paketą. Peržiūrėkite savo atnaujinimų tvarką kartu su galimybėmis aptikti incidentą ir atkurti svetainę.

• Laikykite atsargines kopijas atskirai nuo svetainės serverio ir saugokite ankstesnes kopijas pakankamai ilgai, kad galėtumėte grįžti į laiką iki incidento.
• Stebėkite išeinančius žiniatinklio serverio ryšius ir, kur įmanoma, juos ribokite.
• Tikrinkite WordPress core bei įskiepių kontrolines sumas, o kai jų nėra – lyginkite failus su oficialiomis švariomis kopijomis.
• Vertinkite ne vien dabartinę įskiepio versiją, bet ir tai, kokį paketą bei kada svetainė gavo.
• Incidento metu tikrinkite el. laiškus ypač atsargiai ir programinę įrangą imkite tik iš savo paskyros pas gamintoją.

Jei dar nepatikrinote savo svetainių, pradėkite nuo Rank Math PRO versijos, paketo gavimo laiko ir aktyvavimo istorijos. Jei paveiktą paketą aktyvavote, pasirinkite švarią atsarginę kopiją arba nuoseklų rankinį valymą, pakeiskite paslaptis ir artimiausiomis dienomis stebėkite, ar negrįžta pašalinti failai.