Atak na łańcuch dostaw Rank Math PRO 3.0.123: jak sprawdzić i oczyścić stronę

Jeśli pobrano Rank Math PRO 3.0.123 z oficjalnego kanału między 15 a 16 października 2026 r., sprawdź dokładny czas pobrania i to, czy wtyczkę aktywowano. Część paczek z tego okresu zawierała złośliwy kod. Wersja 3.0.124 jest czysta, ale aktualizacja nie usuwa zmian, które malware zdążyło wprowadzić poza katalogiem wtyczki.

Co się stało i kiedy dostarczano zainfekowane paczki

Złośliwy kod trafił do oficjalnych paczek dodatku Rank Math PRO, które użytkownicy otrzymywali przy pobraniu lub aktualizacji. To atak na łańcuch dostaw: zagrożenie dotarło przez zaufany kanał dystrybucji oprogramowania, a nie przez błąd w kodzie wtyczki. Rank Math usunął zmodyfikowane pliki i udostępnił czystą wersję 3.0.124.

• Okno dystrybucji: od 15 października 2026 r., godz. 20:02 UTC, do 16 października 2026 r., godz. 07:12 UTC – około 11 godzin.
• Czas w Polsce: od 15 października, godz. 22:02 CEST, do 16 października, godz. 09:12 CEST.
• Zakres: część paczek wersji 3.0.123 pobranych w tym przedziale.
• Czysta wersja: 3.0.124.
• Identyfikator wtyczki: seo-by-rank-math-pro.
• Identyfikator podatności: CVE-2026-111862.
• Ocena w systemie CVSS, czyli skali oceny dotkliwości podatności: 9,8 – krytyczna.
• Klasyfikacja: osadzony złośliwy kod, który nie wymaga uwierzytelnienia atakującego.

Komunikat dotyczy wyłącznie płatnego dodatku PRO. Nie wskazuje bezpłatnej wtyczki Rank Math jako dotkniętej incydentem. Rank Math nie opublikował sposobu, w jaki zmodyfikowano paczki; nie podano też liczby ofiar ani sprawców.

Malware uruchamia się po aktywacji wtyczki, komunikuje z domeną rank1cdn[.]com i może zapewnić atakującemu trwały dostęp. Przy wejściach na stronę potrafi odtwarzać ukryte furtki, czyli dodatkowe mechanizmy dostępu do witryny. Może też ujawnić dane dostępowe WordPressa, dane dostępowe bazy, klucze API – interfejsów programistycznych – i inne sekrety, które może odczytać serwer WWW.

Który z trzech przypadków dotyczy twojej strony

Zaloguj się do panelu WordPressa i otwórz sekcję Wtyczki, aby sprawdzić wersję Rank Math PRO. Następnie ustal, kiedy pobrano paczkę oraz czy ją zainstalowano i aktywowano. Od tego zależy dalsze postępowanie.

1. Zainstalowano i aktywowano zainfekowaną wersję 3.0.123: traktuj stronę jako przejętą. Przywróć czystą kopię zapasową albo przeprowadź pełne czyszczenie opisane poniżej.
2. Zainstalowano zainfekowaną wersję 3.0.123, ale nigdy jej nie aktywowano: usuń jej pliki, pobierz czystą wersję 3.0.124 z konta Rank Math i zainstaluj ją. Zapobiegawczo wykonaj skan bezpieczeństwa.
3. Pobrano zainfekowaną wersję 3.0.123, ale jej nie zainstalowano ani nie aktywowano: sam ten incydent nie wskazuje, że stronę przejęto. Jeśli nie masz pewności, czy pliki trafiły na serwer lub czy wtyczkę aktywowano, skontaktuj się z pomocą techniczną.

Szybka kontrola przez WP-CLI

WP-CLI to narzędzie do obsługi WordPressa z wiersza poleceń. Poniższe komendy pomagają sprawdzić wersję wtyczki i wyszukać część śladów incydentu; nie zastępują pełnego czyszczenia. Uruchom je z katalogu instalacji WordPressa, z uprawnieniami odpowiednimi dla danego środowiska.

wp plugin get seo-by-rank-math-pro --field=version

# Podejrzane wpisy w opcjach WordPressa.
wp option get _uf6qdn2hmm
wp option get t8krdk990phb
wp option get _np5pvf754c

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
wp core verify-checksums
wp cron event list

ls -la wp-includes/class-wp-cache-util.php
grep -RIn -- 'xmmqhn' wp-content/

# Zastąp www-data nazwą użytkownika serwera WWW; potrzebujesz odpowiednich uprawnień.
crontab -l -u www-data | grep -- 'ms6v46'

wp plugin get seo-by-rank-math-pro --field=version

# Podejrzane wpisy w opcjach WordPressa.
wp option get _uf6qdn2hmm
wp option get t8krdk990phb
wp option get _np5pvf754c

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
wp core verify-checksums
wp cron event list

ls -la wp-includes/class-wp-cache-util.php
grep -RIn -- 'xmmqhn' wp-content/

# Zastąp www-data nazwą użytkownika serwera WWW; potrzebujesz odpowiednich uprawnień.
crontab -l -u www-data | grep -- 'ms6v46'

Opcje w bazie, plik podszywający się pod core i oznaczone zadania harmonogramu to konkretne ślady, które trzeba sprawdzić. Nie kończ kontroli na obecnej wersji wtyczki: aktualizacja do 3.0.124 zastępuje paczkę Rank Math PRO, ale nie usuwa plików, kont administratorów ani zadań harmonogramu utworzonych wcześniej w innych miejscach.

Wariant zalecany: przywróć czystą kopię zapasową

Jeśli aktywowano zainfekowaną paczkę, zalecana ścieżka to przywrócenie plików strony i bazy z kopii sprzed początku incydentu. Wybierz kopię utworzoną przed 15 października 2026 r., godz. 20:02 UTC, czyli przed 22:02 CEST w Polsce. Ten sam moment to 15 października, godz. 16:02 EDT, oraz 16 października, godz. 01:32 IST.

1. Przywróć stronę i bazę danych z kopii zapasowej sprzed wskazanego momentu.
2. Wykonaj skan bezpieczeństwa sprawdzonym narzędziem, na przykład Wordfence lub Sucuri.
3. Zmień wszystkie hasła i dane dostępowe. Przyjmij, że sekrety dostępne dla strony mogły wyciec. Wymień hasła, dane dostępowe bazy, klucze API i pozostałe dane z listy w sekcji o rotacji.
4. Zainstaluj czystą wersję Rank Math PRO 3.0.124, pobraną z konta Rank Math, już po przywróceniu strony.

Jeśli nie wiesz, jak bezpiecznie przywrócić kopię, poproś dostawcę hostingu o pomoc. Po odzyskaniu strony przejdź również przez końcową weryfikację opisaną dalej.

Wariant ręczny: najpierw zatrzymaj odtwarzanie malware

Gdy nie możesz przywrócić czystej kopii, usuń malware ręcznie i sprawdź pozostałe zmiany. Kolejność ma znaczenie: złośliwy kod potrafi odtwarzać ukrytą furtkę przy kolejnych wejściach na stronę. Samo usunięcie podejrzanych plików może więc nie rozwiązać problemu.

Krok 1. Wyłącz mechanizm, który odtwarza infekcję

Wykonaj wszystkie trzy czynności z poniższej listy, zanim przejdziesz do szukania pozostałych plików. Samo wyłączenie wtyczki w panelu WordPressa nie wystarczy.

1. Usuń cały katalog Rank Math PRO. Skorzystaj z menedżera plików hostingu albo FTP, czyli protokołu przesyłania plików. Instrukcja incydentu wskazuje katalog rank-math-pro; zlokalizuj katalog dodatku PRO w swojej instalacji i usuń go w całości.
2. Usuń złośliwe wpisy z bazy. Otwórz bazę WordPressa, na przykład w phpMyAdmin. W tabeli wp_options, z uwzględnieniem prefiksu używanego w instalacji, wyszukaj rekordy, w których option_name ma wartość _uf6qdn2hmm, t8krdk990phb albo _np5pvf754c. Usuń znalezione wpisy.
3. Zablokuj połączenia wychodzące do rank1cdn.com, jeśli hosting lub zapora na to pozwala.

Krok 2. Znajdź pozostałe zmiany i usuń trwały dostęp

Atakujący mógł pozostawić dodatkowe pliki, konta oraz zmiany na poziomie serwera. Sprawdź każdy z poniższych obszarów, nawet jeśli usunięto już katalog wtyczki i wpisy w bazie.

Ukryte furtki w plikach PHP

Przejrzyj wskazane katalogi pod kątem podejrzanych plików PHP. W wyszukiwaniu i ocenie plików może pomóc wtyczka bezpieczeństwa albo dostawca hostingu.

• wp-content/mu-plugins/ – katalog wtyczek ładowanych automatycznie.
• Katalogi pozostałych wtyczek.
• Katalogi inc/ w motywach innych niż domyślne.
• Katalogi includes/ w motywach innych niż domyślne.
• Katalogi lib/ w motywach innych niż domyślne.
• Katalog includes/ należący do Rank Math.

Szukaj kodu z base64_decode połączonym z pętlami XOR, czyli operacjami alternatywy wykluczającej na danych. Pozostałe wskazówki to klucz xmmqhn, wywołania proc_open oraz kod korzystający z gniazd PHP-FPM – menedżera procesów PHP. Traktuj je jako ślady do analizy w kontekście pliku, nie jako polecenie usunięcia każdego wystąpienia danej funkcji.

Nieznane konta administratorów

Przejrzyj użytkowników WordPressa z uprawnieniami administratora. Zwróć uwagę na loginy zaczynające się od wpsupport_, po których występują losowe znaki, oraz adresy e-mail kończące się na @wp-mail[.]net. Usuń konta, które potwierdzisz jako złośliwe lub nieautoryzowane.

wp user list --role=administrator

wp user list --role=administrator

Plik podszywający się pod core WordPressa

Sprawdź, czy istnieje wp-includes/class-wp-cache-util.php. Ten plik nie należy do core WordPressa, czyli podstawowych plików samego systemu. Jeśli go znajdziesz, usuń go i sprawdź sumy kontrolne, które pozwalają porównać pliki z oficjalnymi kopiami.

wp core verify-checksums

wp core verify-checksums

Zainstaluj ponownie pliki core WordPressa z oficjalnego źródła. W ten sposób zastąpisz także inne pliki core, które mogły ulec zmianie.

Reguły w .htaccess i pliki .cache

Przejrzyj .htaccess w głównym katalogu strony oraz w podkatalogach. Szukaj reguł, które pozwalają wykonywać pliki .cache jako kod PHP. Wyszukaj też na serwerze pliki .cache zawierające PHP i zbadaj podejrzane wyniki.

Zadania systemowe i harmonogram WordPressa

Sprawdź crontab, czyli systemowy harmonogram zadań, dla użytkownika serwera WWW. Szukaj wpisów oznaczonych komentarzem #ms6v46. Osobno przejrzyj zdarzenia WP-Cron, czyli harmonogramu WordPressa, i usuń zadania potwierdzone jako złośliwe.

wp cron event list

wp cron event list

Pozostałe wtyczki, motywy i przesłane pliki

• Zainstaluj ponownie wtyczki i motywy z ich oficjalnych źródeł. Tam, gdzie to możliwe, porównaj pliki z czystymi kopiami.
• Sprawdź katalog uploads/ pod kątem plików PHP – zasadniczo nie powinno ich tam być.
• Zbadaj nieoczekiwane i zmodyfikowane pliki, zanim je usuniesz.

Zmiany poza katalogiem strony

Nie ograniczaj kontroli do instalacji WordPressa, bo atakujący mógł zmienić także środowisko serwera. Sprawdź osobno każdy z poniższych obszarów.

• Pliki authorized_keys, które przechowują klucze dopuszczone do dostępu przez SSH – protokół zdalnego dostępu do serwera.
• Crontaby pozostałych użytkowników systemowych.
• Uruchomione procesy.
• Miejsca poza katalogiem strony, w których użytkownik serwera WWW może zapisywać pliki.

Na hostingu współdzielonym możesz nie mieć dostępu do tych obszarów. Poproś wtedy dostawcę hostingu, aby je sprawdził.

Lista wskaźników kompromitacji

Wskaźniki kompromitacji, w skrócie IOC, to ślady pomocne przy szukaniu skutków włamania. Poniższa lista zbiera charakterystyczne elementy tego incydentu; domeny w zapisie z [.] zapisano tak, aby nie tworzyć aktywnych odnośników.

• Domena komunikacji malware: rank1cdn[.]com.
• Opcja w bazie: _uf6qdn2hmm.
• Opcja w bazie: t8krdk990phb.
• Opcja w bazie: _np5pvf754c.
• Klucz w podejrzanym kodzie: xmmqhn.
• Wzorzec kodu: base64_decode w połączeniu z pętlami XOR.
• Element do analizy w kodzie: proc_open.
• Element do analizy w kodzie: obsługa gniazd PHP-FPM.
• Podejrzane loginy: wpsupport_ z losowym ciągiem znaków.
• Podejrzana domena e-mail kont administratorów: @wp-mail[.]net.
• Fałszywy plik core: wp-includes/class-wp-cache-util.php.
• Znacznik w systemowym crontabie: #ms6v46.
• Podejrzane reguły: wykonywanie plików .cache jako PHP przez .htaccess.
• Podejrzana zawartość: kod PHP w plikach .cache lub w katalogu uploads/.

Krok 3. Wymień hasła, klucze i pozostałe sekrety

Po usunięciu złośliwych zmian wymień dane dostępowe, które strona mogła odczytać. Zrób to także po przywróceniu kopii zapasowej – odzyskanie wcześniejszych plików nie unieważnia sekretów, które mogły już wyciec. Przyjmij ostrożnościowo, że wszystkie dane dostępne dla przejętej witryny zostały ujawnione.

• Wszystkie odpowiednie hasła: zmień hasła kont WordPressa oraz pozostałe hasła dostępne dla przejętej strony.
• Dane dostępowe bazy: zmień nazwę użytkownika i hasło bazy wskazane w wp-config.php.
• Klucze bezpieczeństwa i sole WordPressa: wygeneruj nowe wartości w wp-config.php.
• Klucze API i dane usług: wymień klucze bramek płatniczych, dane SMTP – protokołu wysyłki poczty – klucze API oraz inne sekrety zapisane w ustawieniach strony i plikach konfiguracyjnych.
• Dostęp do hostingu i serwera: zmień hasła lub inne dane dostępowe panelu hostingu, FTP, SFTP – protokołu bezpiecznego przesyłania plików – oraz SSH. Sprawdź także sekrety przechowywane w zmiennych środowiskowych.
• Uwierzytelnianie dwuskładnikowe: sprawdź konfigurację kont administratorów i zresetuj ją tam, gdzie to potrzebne.

Wprowadź nowe dane we wszystkich wymagających tego konfiguracjach strony i połączonych usługach. Jeśli nie masz pewności, które sekrety były dostępne dla witryny, przejrzyj je z dostawcą hostingu albo specjalistą od bezpieczeństwa.

Krok 4. Zweryfikuj stronę po czyszczeniu

Po zakończeniu prac sprawdź zarówno pliki, jak i zachowanie strony. Kontynuuj obserwację przez kolejne dni, bo odtworzone pliki mogą wskazywać, że pozostał aktywny mechanizm infekcji.

1. Wykonaj skan bezpieczeństwa sprawdzonym narzędziem, takim jak Wordfence albo Sucuri.
2. Zweryfikuj pliki core WordPressa poleceniem wp core verify-checksums.
3. Zweryfikuj pliki zainstalowanych wtyczek poleceniem wp plugin verify-checksums --all. Nie każda wtyczka udostępnia sumy kontrolne; dotyczy to zwłaszcza wtyczek płatnych. W takim przypadku porównaj pliki z czystą paczką z oficjalnego źródła.
4. Monitoruj połączenia wychodzące i szukaj podejrzanej aktywności przez kolejne dni.
5. Sprawdzaj, czy usunięte pliki nie pojawiają się ponownie.

wp core verify-checksums
wp plugin verify-checksums --all

wp core verify-checksums
wp plugin verify-checksums --all

Jeśli pliki wracają albo zauważysz nietypową aktywność, czyszczenie może być niepełne. Wróć do kroku 2 i poproś hosting lub specjalistę o dalszą analizę.

Zainstaluj czystą wersję 3.0.124 z konta Rank Math

Po wykonaniu czynności właściwych dla twojego przypadku zainstaluj Rank Math PRO 3.0.124. Wpisz bezpośrednio w przeglądarce rankmath.com, zaloguj się na konto, przejdź do sekcji pobrań i pobierz aktualną paczkę. Część użytkowników może potrzebować resetu hasła, aby odzyskać dostęp do konta.

Nie pobieraj zamiennika z nieoficjalnych serwisów redystrybucji ani repozytoriów z paczkami na licencji GPL – GNU General Public License. Takie miejsca mogą nadal udostępniać kopie wersji 3.0.123. Pobieraj wtyczkę z konta u dostawcy.

Jak uzyskać pomoc

Jeśli nie potrafisz ustalić właściwej ścieżki naprawy albo masz wątpliwości co do stanu strony, otwórz zgłoszenie do pomocy Rank Math lub napisz na support@rankmath.com. Podaj wersję Rank Math PRO oraz listę wykonanych już czynności. Przy problemach z kopią zapasową, plikami lub środowiskiem serwera zaangażuj również dostawcę hostingu.

Co zmienić w utrzymaniu stron

Ten incydent pokazuje, że atak na łańcuch dostaw może objąć także zaufanego dostawcę komercyjnego. Oficjalny kanał aktualizacji nie wyklucza ryzyka, dlatego zabezpieczenia muszą obejmować również kopie zapasowe, kontrolę plików i ruch wychodzący.

• Przejrzyj zasady automatycznych aktualizacji płatnych wtyczek. Skracają czas wdrożenia poprawek, ale przy zmienionej paczce mogą również szybko dostarczyć malware.
• Przechowuj kopie zapasowe poza serwerem strony i zachowuj ich historię. Potrzebujesz możliwości powrotu do momentu sprzed incydentu, nie tylko najnowszej kopii.
• Monitoruj i ograniczaj połączenia wychodzące z serwera WWW. Uwzględnij w procedurach możliwość zablokowania złośliwej domeny.
• Weryfikuj sumy kontrolne. Gdy dostawca ich nie udostępnia, porównuj pliki z czystymi kopiami z oficjalnego kanału.
• Uwzględnij phishing w obsłudze incydentu. Wiadomość podszywająca się pod Rank Math może próbować wykorzystać pośpiech przy naprawie strony.
• Kontroluj pochodzenie paczek. Nieoficjalne serwisy mogą nadal rozpowszechniać starą wersję; korzystaj z konta u dostawcy.

Zacznij od ustalenia czasu pobrania paczki i tego, czy ją aktywowano. Jeśli uruchomiono zainfekowaną wersję, wybierz przywrócenie czystej kopii albo wykonaj pełne czyszczenie w podanej kolejności, wymień sekrety i zaplanuj kontrolę strony przez kolejne dni.