Rank Math SEO PRO 3.0.123 piegādes ķēdes uzbrukums: kā pārbaudīt un atjaunot vietni

Oficiālajās Rank Math SEO PRO 3.0.123 lejupielādes un atjauninājumu pakotnēs ierobežotā laika posmā nonāca ļaunprogrammatūra. Ja aktivizēji skarto pakotni, uzskati vietni par kompromitētu arī tad, ja pašlaik jau izmanto citu versiju.

Tīrā versija 3.0.124 aizstāj Rank Math PRO failus, taču neizdzēš ļaunprogrammatūras citviet izveidotos failus, administratoru kontus vai ieplānotos uzdevumus. Tāpēc vispirms noskaidro, vai vietne ir skarta, un tikai tad izvēlies atkopšanas darbības.

Kas notika un kuras pakotnes ir skartas

Šis ir piegādes ķēdes uzbrukums: ļaunprogrammatūra atradās pašā oficiāli izplatītajā spraudņa pakotnē, nevis izmantoja parastu programmēšanas kļūdu spraudņa funkcijās. Rank Math izņēma skartos failus un izlaida tīru versiju 3.0.124. Kā uzbrucējs izmainīja pakotnes, publiski nav atklāts; nav arī pamata piedēvēt uzbrukumu konkrētam izpildītājam vai minēt cietušo skaitu.

• Skartais produkts: Rank Math SEO PRO papildinājums; spraudņa identifikators ir seo-by-rank-math-pro. Bezmaksas Rank Math spraudnis nav norādīts kā skarts.
• Skartā versija: tikai daļa 3.0.123 pakotņu. Pats versijas numurs vēl nepierāda, ka vietne ir kompromitēta.
• Tīrā versija: 3.0.124.
• Riska periods: no 2026. gada 15. oktobra plkst. 20.02 UTC līdz 16. oktobra plkst. 07.12 UTC – aptuveni 11 stundas. Pēc Centrāleiropas vasaras laika (CEST) tas ir no 15. oktobra plkst. 22.02 līdz 16. oktobra plkst. 09.12.
• Ievainojamības identifikators: CVE-2026-111862; CVE ir publisku ievainojamību identifikatoru sistēma.
• Smagums: 9,8 jeb kritisks pēc vienotās ievainojamību novērtēšanas sistēmas (CVSS). Ieraksta nosaukums ir „Rank Math SEO PRO 3.0.123 – Unauthenticated Embedded Malicious Code”.

Ļaunprogrammatūra sāk darboties, kad aktivizē spraudni, un var izveidot noturīgu piekļuvi vietnei. Tā sazinās ar rank1cdn[.]com un spēj atjaunot slēptus piekļuves mehānismus jeb aizmugures durvis, kad kāds apmeklē vietni. Par potenciāli atklātām jāuzskata WordPress paroles, datubāzes piekļuves dati, lietojumprogrammu saskarnes (API) atslēgas un citi noslēpumi, kurus var nolasīt tīmekļa serveris.

Nosaki, kurš no trim gadījumiem attiecas uz vietni

WordPress administrācijas sadaļā „Spraudņi” pārbaudi instalēto Rank Math PRO versiju un noskaidro, kad ieguvi pakotni. Rank Math saglabātie lejupielāžu ieraksti ļauj uzņēmumam identificēt skarto kopiju saņēmējus un viņus informēt. Ja saņēmi šādu paziņojumu, izpildi atbilstošās darbības arī tad, ja pašreizējā versija vairs nav 3.0.123.

1. Skartajā periodā instalēji un aktivizēji 3.0.123. Uzskati vietni par kompromitētu un izpildi tālāk aprakstītās atkopšanas darbības.
2. Instalēji skarto 3.0.123 pakotni, bet nekad to neaktivizēji. Izdzēs skartos spraudņa failus, instalē tīro 3.0.124 pakotni no Rank Math konta un piesardzības dēļ palaid drošības skenēšanu.
3. Lejupielādēji 3.0.123, bet to neinstalēji un neaktivizēji. Šis incidents pats par sevi neliecina, ka vietne būtu kompromitēta. Ja nevari droši noteikt, vai failus instalēji vai spraudni aktivizēji, sazinies ar Rank Math atbalstu.

Ātrā pārbaude ar WP-CLI

WP-CLI ir komandrindas rīks WordPress pārvaldībai; ar to vari ātri savākt pirmos pārbaudes rezultātus. Tālākās komandas neko netīra un pašas par sevi nepierāda, ka vietne ir droša. Palaid tās WordPress instalācijas direktorijā ar atbilstošām piekļuves tiesībām.

wp plugin get seo-by-rank-math-pro --field=version

wp option get _uf6qdn2hmm
wp option get t8krdk990phb
wp option get _np5pvf754c

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
wp core verify-checksums
wp cron event list

ls -la wp-includes/class-wp-cache-util.php

# Aizstāj www-data ar faktisko tīmekļa servera lietotāju.
# Cita lietotāja crontab apskatei vajadzīgas atbilstošas tiesības.
crontab -l -u www-data | grep ms6v46

# Meklē vienu no zināmajiem koda marķieriem.
grep -RIn --include='*.php' 'xmmqhn' wp-content/

wp plugin get seo-by-rank-math-pro --field=version

wp option get _uf6qdn2hmm
wp option get t8krdk990phb
wp option get _np5pvf754c

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
wp core verify-checksums
wp cron event list

ls -la wp-includes/class-wp-cache-util.php

# Aizstāj www-data ar faktisko tīmekļa servera lietotāju.
# Cita lietotāja crontab apskatei vajadzīgas atbilstošas tiesības.
crontab -l -u www-data | grep ms6v46

# Meklē vienu no zināmajiem koda marķieriem.
grep -RIn --include='*.php' 'xmmqhn' wp-content/

Pārbaudi visus trīs datubāzes opciju nosaukumus, nevis tikai pirmo atrasto. Ja komanda neatrod kādu opciju vai failu, tas izslēdz tikai konkrēto atradumu, nevis visu kompromitējumu.

Pirmais atkopšanas ceļš: atjauno tīru rezerves kopiju

Ja aktivizēji skarto pakotni un tev ir tīra rezerves kopija, atjauno gan vietnes failus, gan datubāzi no kopijas, kas izveidota pirms riska perioda sākuma. Tas ir ieteicamais atkopšanas ceļš. Kopijai jābūt izveidotai pirms 2026. gada 15. oktobra plkst. 20.02 UTC.

Tas pats robežlaiks citās laika joslās ir 15. oktobra plkst. 22.02 pēc CEST, 15. oktobra plkst. 16.02 pēc ASV austrumu vasaras laika (EDT) un 16. oktobra plkst. 01.32 pēc Indijas standarta laika (IST). Pārbaudot rezerves kopiju laikus, ņem vērā, kuru laika joslu rāda hostinga panelis.

1. Atjauno vietnes failus un datubāzi no tīras kopijas, kas izveidota pirms norādītā robežlaika.
2. Palaid drošības skenēšanu ar uzticamu rīku, piemēram, Wordfence vai Sucuri.
3. Nomaini visas paroles un piekļuves datus. Pieņem, ka vietnei pieejamie noslēpumi varēja noplūst; izmanto tālāk doto nomaiņas kontrolsarakstu.
4. Instalē tīro Rank Math PRO 3.0.124, lejupielādējot to no Rank Math konta pēc vietnes atjaunošanas.

Ja nezini, kā atjaunot rezerves kopiju, lūdz palīdzību hostinga pakalpojuma sniedzējam. Arī pēc atjaunošanas izpildi raksta beigās aprakstītās pārbaudes un novēro vietni.

Otrais atkopšanas ceļš: iztīri vietni manuāli

Ja tīru rezerves kopiju nevar izmantot, jāizņem ļaunprogrammatūra un jāpārbauda pārējās uzbrucēja izmaiņas. Darbību secība ir būtiska: vispirms apturi mehānismu, kas atjauno aizmugures durvis, un tikai pēc tam dzēs pārējos ļaunprātīgos failus.

1. Apturi ļaunprogrammatūras atjaunošanos

Pirms turpini ar citu failu un kontu tīrīšanu, izpildi visas trīs darbības. Spraudņa failus vari pārvaldīt ar hostinga failu pārvaldnieku vai failu pārsūtīšanas protokola (FTP) klientu.

1. Izdzēs visu Rank Math PRO mapi rank-math-pro. Neapstājies pie deaktivizēšanas administrācijas panelī.
2. Izdzēs ļaunprātīgos ierakstus datubāzē. Ar phpMyAdmin vai līdzīgu rīku atver WordPress datubāzi. Tabulā wp_options meklē option_name vērtības _uf6qdn2hmm, t8krdk990phb un _np5pvf754c un izdzēs atrastos ierakstus.
3. Ja hostings vai ugunsmūris to atbalsta, bloķē izejošos savienojumus uz rank1cdn.com. Tas ir domēns, ar kuru sazinās ļaunprogrammatūra.

2. Atrodi un izņem pārējās ļaunprātīgās izmaiņas

Uzbrucējs varēja atstāt failus, lietotājus un izmaiņas ārpus paša spraudņa. Pārbaudi katru no tālāk minētajām vietām; viena atraduma izdzēšana neaizstāj pārējo pārbaudi.

Slēptās aizmugures durvis

Aizdomīgus PHP failus meklē vairākās spraudņu un tēmu direktorijās. Īpaši pārbaudi šīs vietas.

• wp-content/mu-plugins/ – direktorija automātiski ielādējamiem spraudņiem.
• Citu spraudņu mapes.
• Mapes inc/, includes/ un lib/ tēmās, kas nav WordPress noklusējuma tēmas.
• Rank Math mape includes/.

Kodā meklē base64_decode kopā ar izslēdzošā VAI (XOR) operācijas cikliem, atslēgu xmmqhn, funkciju proc_open vai kodu darbam ar PHP procesu pārvaldnieka PHP-FPM sakaru ligzdām. Šie ir kompromitējuma indikatori – pazīmes, pēc kurām meklēt aizdomīgo kodu, nevis pamats automātiski izdzēst katru failu, kurā parādās kāda PHP funkcija. Drošības spraudnis vai hostinga atbalsts var palīdzēt atrast un izņemt ļaunprātīgos failus.

Nepazīstami administratoru konti

Pārskati visus WordPress kontus ar administratora tiesībām un pārbaudi nepazīstamus lietotājus. Īpaši meklē lietotājvārdus, kas sākas ar wpsupport_ un turpinās ar nejaušām rakstzīmēm, kā arī e-pasta adreses ar galotni @wp-mail[.]net. Izdzēs kontus, par kuriem apstiprini, ka tie ir ļaunprātīgi vai neatļauti.

wp user list --role=administrator

wp user list --role=administrator

Viltots WordPress core fails

Fails wp-includes/class-wp-cache-util.php nav leģitīms WordPress core fails. WordPress core ir paša WordPress sistēmas faili, nevis spraudņi un tēmas. Ja šo failu atrodi, izdzēs to un pārbaudi core kontrolsummas – vērtības, ar kurām salīdzina failu atbilstību oficiālajām kopijām.

wp core verify-checksums

wp core verify-checksums

Pārinstalē WordPress core failus no oficiāla avota, lai neatstātu citas izmainītas core kopijas. Neaprobežojies tikai ar viltotā faila dzēšanu.

Noteikumi failā .htaccess un aizdomīgi .cache faili

Pārbaudi .htaccess failus gan vietnes saknes direktorijā, gan apakšdirektorijās. Meklē noteikumus, kas ļauj izpildīt .cache failus kā PHP kodu. Pārmeklē serveri arī pēc .cache failiem, kas satur PHP kodu, un izpēti aizdomīgos atradumus.

Ieplānotie uzdevumi

Pārskati tīmekļa servera lietotāja crontab – sistēmas cron plānotāja uzdevumu sarakstu. Meklē ierakstus ar marķieri #ms6v46. Atsevišķi pārbaudi arī WordPress ieplānotos notikumus.

wp cron event list

wp cron event list

Izpēti aizdomīgos uzdevumus un izdzēs tos, kurus identificē kā ļaunprātīgus. WordPress notikumu saraksts neaizstāj sistēmas crontab pārbaudi.

Citi spraudņi, tēmas un augšupielādes

Pārinstalē spraudņus un tēmas no to oficiālajiem avotiem; kur iespējams, salīdzini pašreizējos failus ar tīrām kopijām. Direktorijā uploads/ meklē PHP failus – parasti tiem tur nevajadzētu atrasties. Pirms dzēs negaidītus vai izmainītus failus, noskaidro to izcelsmi un nozīmi.

Servera vide ārpus WordPress

Uzbrucēja izmaiņas var sniegties ārpus WordPress instalācijas. Pārbaudi arī servera piekļuvi un vietas, kur tīmekļa servera lietotājs drīkst rakstīt.

• Drošās attālās piekļuves protokola (SSH) failus authorized_keys.
• Citu sistēmas lietotāju crontab sarakstus.
• Darbojošos procesus.
• Vietas ārpus vietnes direktorijas, kurās tīmekļa servera lietotājam ir rakstīšanas tiesības.

Ja izmanto koplietojamu hostingu un šīm vietām netiec klāt, lūdz tās pārbaudīt hostinga atbalstam. WordPress administrācijas panelis šādas izmaiņas neparādīs.

3. Nomaini paroles un citus piekļuves datus

Pieņem, ka noslēpumi, kuriem kompromitētā vietne varēja piekļūt, ir atklāti. Šis solis ir obligāts arī pēc atjaunošanas no rezerves kopijas: failu atjaunošana nepadara iepriekš nolasītu paroli vai atslēgu atkal slepenu.

• Visas attiecīgās paroles. Nomaini WordPress kontu paroles un citus piekļuves datus, kuri bija pieejami kompromitētajai vietnei.
• Datubāzes piekļuve. Nomaini datubāzes lietotājvārdu un paroli, ko vietne izmanto failā wp-config.php.
• WordPress drošības atslēgas un sāļi. Ģenerē jaunas vērtības failā wp-config.php; sāļi ir nejaušas papildu vērtības, ko WordPress izmanto autentifikācijas aizsardzībā.
• API atslēgas un pakalpojumu piekļuve. Nomaini maksājumu vārteju atslēgas, e-pasta nosūtīšanas protokola (SMTP) piekļuves datus, API atslēgas un citus noslēpumus vietnes iestatījumos vai konfigurācijas failos.
• Hostinga un servera piekļuve. Nomaini hostinga vadības paneļa, FTP un drošās failu pārsūtīšanas protokola (SFTP), kā arī SSH paroles vai citus autentifikācijas datus. Pārskati arī vides mainīgajos glabātos noslēpumus.
• Divfaktoru autentifikācija. Pārbaudi administratoru kontu divfaktoru autentifikāciju un vajadzības gadījumā atiestati to.

Ievadi jaunos datus visās vietnes konfigurācijās un saistītajos pakalpojumos, kur tas nepieciešams. Ja nevari noteikt visu maināmo datu apjomu, pārskati to kopā ar hostinga atbalstu vai drošības speciālistu.

4. Pārbaudi tīrīšanas rezultātu

Pēc tīrīšanas pārbaudi gan failus, gan vietnes turpmāko uzvedību. Veiksmīga viena skenēšana neaizstāj pārējos kontrolpunktus.

1. Palaid drošības skenēšanu ar uzticamu rīku, piemēram, Wordfence vai Sucuri.
2. Pārbaudi WordPress core failus ar wp core verify-checksums.
3. Pārbaudi instalēto spraudņu failus ar wp plugin verify-checksums --all. Ne visiem spraudņiem, īpaši maksas produktiem, ir pieejamas kontrolsummas; tādos gadījumos salīdzini failus ar tīru kopiju no oficiālā avota.
4. Turpmākajās dienās novēro izejošos savienojumus un meklē aizdomīgu darbību.
5. Pārbaudi, vai izdzēstie faili neparādās no jauna.

Ja aizdomīgie faili atgriežas vai redzi neparastu darbību, tīrīšana var būt nepilnīga. Atgriezies pie otrā soļa – pārējo ļaunprātīgo izmaiņu meklēšanas – un iesaisti hostinga atbalstu vai drošības speciālistu.

Instalē tīro pakotni un uzmanies no pikšķerēšanas

Kad esi pabeidzis attiecīgajam gadījumam vajadzīgās atkopšanas darbības, instalē Rank Math PRO 3.0.124. Pārlūkā pats atver rankmath.com, piesakies kontā un lejupielāžu sadaļā iegūsti tīro pakotni. Daļai lietotāju var būt jāatiestata konta parole, lai atkal pieteiktos.

Neoficiālas izplatīšanas vietnes, tostarp vietnes, kas piedāvā kopijas ar atsauci uz GNU vispārējo publisko licenci (GPL), joprojām var izplatīt 3.0.123 pakotnes. Tīro versiju iegūsti no ražotāja konta, nevis no trešās puses arhīva.

Ja vajadzīga palīdzība, raksti uz support@rankmath.com vai atver atbalsta pieteikumu. Norādi Rank Math PRO versiju un jau izpildītos atkopšanas soļus, lai atbalsta komanda varētu izvērtēt konkrēto situāciju.

Ko mainīt vietnes uzturēšanā pēc incidenta

Uzticams maksas spraudņa piegādātājs nav pasargāts no piegādes ķēdes uzbrukuma. Automātiskie atjauninājumi palīdz ātri saņemt labojumus, bet šādā incidentā tie var arī automātiski piegādāt izmainītu pakotni. Pārskati maksas spraudņu atjaunināšanas kārtību, nevis pieņem, ka oficiāls atjauninājums vienmēr nozīmē drošu saturu.

• Glabā rezerves kopijas ārpus vietnes servera un saglabā pietiekamu vēsturi, lai varētu atgriezties pie stāvokļa pirms incidenta.
• Novēro tīmekļa servera izejošos savienojumus un ierobežo tos, kur tas iespējams.
• Pārbaudi core un spraudņu kontrolsummas; produktiem bez publiskām kontrolsummām izmanto tīras oficiālās kopijas salīdzināšanai.
• Pārskati automātisko atjauninājumu kārtību arī maksas spraudņiem, ņemot vērā gan ātras labošanas ieguvumu, gan piegādes ķēdes risku.
• Piekļuvi kontam un pakotņu lejupielādi sāc ražotāja vietnē, nevis negaidītā e-pastā vai neoficiālā izplatīšanas vietnē.

Ja skartā pakotne darbojās vietnē, nākamais uzdevums ir atkopšana un piekļuves datu nomaiņa, nevis tikai spraudņa atjaunināšana. Pēc tam turpini novērot savienojumus un failus: to atkārtota parādīšanās nozīmē, ka izmeklēšana jāturpina.