Rank Math PRO 3.0.123: ataque à cadeia de fornecimento e recuperação dos sites

Alguns pacotes oficiais do Rank Math PRO 3.0.123, distribuídos através de descarga ou atualização, continham malware. Se instalaste e ativaste uma dessas cópias, trata o site como comprometido: substituir o plugin pela versão limpa não chega para remover tudo o que o código malicioso possa ter criado.

O incidente abrange os pacotes obtidos entre 15 de outubro de 2026, às 20:02 UTC, e 16 de outubro de 2026, às 07:12 UTC, uma janela de cerca de 11 horas. A Rank Math retirou os ficheiros afetados e disponibilizou a versão limpa 3.0.124. O aviso diz respeito ao complemento PRO; não identifica o plugin gratuito Rank Math como afetado.

O que aconteceu e porque não basta atualizar

Este foi um ataque à cadeia de fornecimento: o código malicioso chegou dentro de um pacote oficial, em vez de explorar um erro de programação do plugin. A Rank Math não publicou como os pacotes foram adulterados, pelo que não há informação para explicar a causa técnica da intrusão ou atribuí-la a um atacante.

O registo CVE-2026-111862, identificador público deste problema de segurança, tem uma classificação de 9,8 – crítica no Common Vulnerability Scoring System (CVSS), a escala de gravidade de vulnerabilidades. Identifica o plugin pelo slug seo-by-rank-math-pro e descreve a presença de código malicioso incorporado que permite atuação sem autenticação.

O malware executa-se quando o plugin é ativado, comunica com rank1cdn[.]com e pode estabelecer acesso persistente. Consegue recriar backdoors – mecanismos de acesso oculto – quando alguém visita o site. Pode ainda expor credenciais do WordPress, credenciais da base de dados, chaves de API e outros segredos que o utilizador do servidor web consiga ler.

Confirma em qual dos três casos estás

Abre a área de administração do WordPress e consulta a versão instalada em Plugins. Cruza essa informação com o momento em que descarregaste ou recebeste a atualização: ter a versão 3.0.123, por si só, não prova que o site esteja comprometido, porque apenas uma parte dos pacotes dessa versão foi afetada.

Em horário de verão da Europa Central, a janela corresponde a 15 de outubro, às 22:02 CEST, até 16 de outubro, às 09:12 CEST. A Rank Math tem registos das contas que descarregaram as cópias afetadas e está a notificar os respetivos utilizadores. Se recebeste uma notificação, aplica o caso correspondente abaixo, mesmo que entretanto tenhas mudado de versão.

1. Instalaste e ativaste uma cópia obtida durante a janela afetada: considera o site comprometido e segue uma das opções de recuperação. A ativação da cópia afetada é o ponto decisivo, não apenas a versão que aparece agora no painel.
2. Instalaste uma cópia afetada da versão 3.0.123, mas nunca a ativaste: elimina os ficheiros desse plugin, instala a versão limpa 3.0.124 a partir da conta Rank Math e executa uma análise de segurança por precaução.
3. Descarregaste a versão 3.0.123, mas não a instalaste nem a ativaste: este incidente, por si só, não indica que o site tenha sido comprometido. Se não consegues confirmar se os ficheiros chegaram a ser instalados ou ativados, contacta o suporte da Rank Math.

Triagem rápida com WP-CLI

O WP-CLI, a ferramenta de linha de comandos do WordPress, permite consultar a versão, opções suspeitas, administradores e eventos agendados. Os comandos seguintes ajudam-te a recolher indícios; não substituem a limpeza nem demonstram, pela ausência de resultados, que o site está seguro.

# Executa na diretoria da instalação do WordPress.
wp plugin get seo-by-rank-math-pro --field=version

# Consulta as três opções associadas ao incidente.
wp option get _uf6qdn2hmm
wp option get t8krdk990phb
wp option get _np5pvf754c

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
wp core verify-checksums
wp cron event list

# Procura o falso ficheiro do core e a chave observada no malware.
ls -la wp-includes/class-wp-cache-util.php
grep -RIn --include='*.php' 'xmmqhn' wp-content/

# Substitui www-data pelo utilizador real do servidor web.
# A consulta do crontab desse utilizador exige permissões adequadas.
crontab -l -u www-data | grep 'ms6v46'

# Executa na diretoria da instalação do WordPress.
wp plugin get seo-by-rank-math-pro --field=version

# Consulta as três opções associadas ao incidente.
wp option get _uf6qdn2hmm
wp option get t8krdk990phb
wp option get _np5pvf754c

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
wp core verify-checksums
wp cron event list

# Procura o falso ficheiro do core e a chave observada no malware.
ls -la wp-includes/class-wp-cache-util.php
grep -RIn --include='*.php' 'xmmqhn' wp-content/

# Substitui www-data pelo utilizador real do servidor web.
# A consulta do crontab desse utilizador exige permissões adequadas.
crontab -l -u www-data | grep 'ms6v46'

Opção 1: restaurar uma cópia de segurança limpa

Se ativaste o pacote afetado e tens uma cópia de segurança anterior ao incidente, restaurar os ficheiros e a base de dados é a opção recomendada. A cópia tem de ser anterior a 15 de outubro de 2026, às 20:02 UTC: o mesmo instante corresponde às 22:02 CEST e às 16:02 EDT desse dia, ou a 16 de outubro, às 01:32 IST.

1. Restaura o site e a base de dados a partir de uma cópia de segurança criada antes do início da janela afetada.
2. Executa uma análise de segurança com uma ferramenta reputada, como o Wordfence ou o Sucuri.
3. Substitui todas as palavras-passe e credenciais potencialmente expostas. Inclui credenciais da base de dados, chaves de API e os restantes segredos detalhados na secção de rotação de credenciais.
4. Instala a versão limpa 3.0.124 do Rank Math PRO, descarregada diretamente da conta Rank Math, depois de restaurares o site.

Se não sabes como restaurar a cópia de segurança, pede ajuda ao fornecedor de alojamento. A reposição de ficheiros antigos não torna novamente secretos os dados que possam ter sido lidos durante o comprometimento; por isso, a troca de credenciais continua a ser obrigatória.

Opção 2: limpar o site manualmente

Sem uma cópia de segurança limpa, tens de remover o malware e procurar outras alterações deixadas pelo atacante. Segue a ordem abaixo: primeiro interrompe o mecanismo que recria a infeção e só depois elimina os restantes elementos maliciosos.

1. Impede o malware de se reconstruir

Conclui todas as ações desta lista antes de avançares para a procura das restantes alterações. Desativar o plugin no painel, por si só, não é suficiente.

1. Elimina a pasta completa do Rank Math PRO. Usa o gestor de ficheiros do alojamento ou FTP para localizar e eliminar a pasta rank-math-pro.
2. Remove as entradas maliciosas da base de dados. Abre a base de dados do WordPress, por exemplo no phpMyAdmin, e procura na tabela wp_options as linhas cujo option_name corresponda a _uf6qdn2hmm, t8krdk990phb ou _np5pvf754c. Elimina as entradas correspondentes. Se a instalação usar outro prefixo de tabelas, consulta a tabela de opções equivalente.
3. Bloqueia as ligações de saída para rank1cdn.com, se possível. Aplica o bloqueio através do fornecedor de alojamento ou da firewall, caso disponhas dessa capacidade.

2. Procura os indicadores de comprometimento e remove as alterações

Os indicadores de comprometimento são vestígios que ajudam a identificar atividade maliciosa, como nomes de ficheiros, padrões de código ou contas inesperadas. Neste incidente, a inspeção tem de abranger o WordPress e o ambiente do servidor, porque o atacante pode ter deixado alterações fora da instalação.

Ficheiros PHP com backdoors ocultas

Procura ficheiros PHP suspeitos em cada uma das localizações abaixo. Os plugins de carregamento obrigatório, guardados em mu-plugins, merecem verificação, tal como os outros plugins e os temas que não sejam os predefinidos do WordPress.

• wp-content/mu-plugins/.
• Pastas de outros plugins.
• Pastas inc/, includes/ e lib/ de temas que não sejam os predefinidos.
• Pasta includes/ do Rank Math.

Entre os padrões a investigar estão base64_decode combinado com ciclos XOR – operações de ou exclusivo usadas para transformar dados -, a chave xmmqhn, chamadas a proc_open e código que utiliza sockets do PHP-FPM, o gestor de processos PHP. Um plugin de segurança ou o fornecedor de alojamento pode ajudar-te a localizar estes indícios e a remover ficheiros confirmados como maliciosos.

Contas de administrador desconhecidas

Revê todas as contas com privilégios de administrador e confirma se estão autorizadas. Procura especialmente nomes que comecem por wpsupport_, seguidos de caracteres aleatórios, e endereços de correio eletrónico terminados em @wp-mail[.]net.

Elimina as contas que confirmares como maliciosas ou não autorizadas. Podes consultar a lista no painel ou usar o comando seguinte.

wp user list --role=administrator

wp user list --role=administrator

Um ficheiro falso no core do WordPress

O ficheiro wp-includes/class-wp-cache-util.php não faz parte do core legítimo do WordPress. Se existir, elimina-o e verifica as somas de verificação, valores que permitem comparar os ficheiros com as cópias oficiais.

wp core verify-checksums

wp core verify-checksums

Reinstala também os ficheiros do core a partir de uma origem oficial. Este passo permite repor os ficheiros legítimos e não apenas remover o ficheiro falso já identificado.

Regras em .htaccess e ficheiros .cache

Inspeciona o ficheiro .htaccess na raiz do site e nos subdiretórios. Procura regras que permitam executar ficheiros com extensão .cache como código PHP.

Pesquisa também no servidor por ficheiros .cache que contenham PHP. Investiga os resultados suspeitos em vez de assumires que essa extensão corresponde apenas a dados de cache.

Tarefas agendadas do servidor e do WordPress

O cron é o mecanismo de agendamento de tarefas do sistema; o WordPress mantém também os seus próprios eventos agendados. Revê o crontab do utilizador que executa o servidor web e procura entradas assinaladas com #ms6v46.

Lista os eventos do WordPress com o comando abaixo. Investiga as tarefas suspeitas e remove as que confirmares como maliciosas, tanto no sistema como no WordPress.

wp cron event list

wp cron event list

Outros plugins, temas e ficheiros enviados

• Reinstala os plugins e os temas a partir das origens oficiais. Sempre que possível, compara os ficheiros existentes com cópias limpas.
• Inspeciona a pasta uploads/ à procura de ficheiros PHP. Em geral, estes ficheiros não devem estar nessa localização.
• Investiga ficheiros inesperados ou alterados antes de os eliminares. Confirma a função e a origem dos ficheiros encontrados.

Alterações fora da pasta do site

O alcance da inspeção não termina na diretoria do WordPress. Verifica separadamente cada uma destas áreas do servidor.

• Ficheiros authorized_keys do SSH, onde ficam as chaves autorizadas para acesso remoto.
• Crontabs dos outros utilizadores do sistema.
• Processos em execução.
• Localizações fora da diretoria do site nas quais o utilizador do servidor web tenha permissões de escrita.

Se usas alojamento partilhado e não tens acesso a estas áreas, pede ao fornecedor que as investigue. Uma limpeza limitada aos ficheiros visíveis através do WordPress pode deixar alterações no servidor por detetar.

3. Substitui as credenciais e os segredos expostos

Depois de removeres os mecanismos maliciosos, assume por precaução que os segredos acessíveis ao site comprometido podem ter sido expostos. Este passo também é necessário se recuperaste o site através de uma cópia de segurança.

• Todas as palavras-passe relevantes: altera as palavras-passe das contas WordPress e as restantes credenciais a que o site comprometido pudesse aceder.
• Credenciais da base de dados: substitui o nome de utilizador e a palavra-passe configurados em wp-config.php.
• Chaves de segurança e salts do WordPress: gera novos valores em wp-config.php. Os salts são valores aleatórios usados em conjunto com as chaves nos mecanismos de autenticação.
• Chaves de API e credenciais de serviços: substitui as chaves das plataformas de pagamento, as credenciais SMTP usadas para enviar correio eletrónico, as chaves de API e outros segredos guardados nas definições ou nos ficheiros de configuração.
• Acesso ao alojamento e ao servidor: altera as palavras-passe ou credenciais do painel de alojamento, de FTP/SFTP e de SSH. Revê também os segredos guardados em variáveis de ambiente.
• Autenticação de dois fatores: revê a configuração das contas de administrador e repõe-na quando necessário.

Atualiza a configuração do site e dos serviços ligados com os novos valores, em todos os locais necessários. Se não consegues identificar todas as credenciais a substituir, pede essa revisão ao fornecedor de alojamento ou a um profissional de segurança.

4. Verifica a limpeza e acompanha os dias seguintes

A recuperação precisa de validação depois da limpeza. Executa cada uma destas verificações e mantém a vigilância nos dias seguintes, em vez de terminares a intervenção assim que o site voltar a funcionar.

1. Executa uma análise de segurança com uma ferramenta reputada, como o Wordfence ou o Sucuri.
2. Verifica os ficheiros do core do WordPress com wp core verify-checksums.
3. Verifica os ficheiros dos plugins instalados com wp plugin verify-checksums --all. A verificação pode não estar disponível para todos os plugins, sobretudo os comerciais. Nesses casos, compara os ficheiros com uma cópia limpa obtida na origem oficial.
4. Monitoriza as ligações de saída e procura atividade suspeita durante os dias seguintes.
5. Confirma se os ficheiros eliminados reaparecem. O regresso desses ficheiros pode indicar que continua ativo um mecanismo de persistência.

wp core verify-checksums
wp plugin verify-checksums --all

wp core verify-checksums
wp plugin verify-checksums --all

Se os ficheiros suspeitos voltarem a aparecer ou observares atividade invulgar, a limpeza pode estar incompleta. Regressa ao passo 2 da limpeza manual e pede ao fornecedor de alojamento ou a um profissional de segurança que aprofunde a investigação.

Instala a versão limpa a partir da conta Rank Math

Depois de concluíres os passos de recuperação aplicáveis, instala o Rank Math PRO 3.0.124. Escreve rankmath.com diretamente no navegador, inicia sessão na conta, abre a área de descargas e obtém o plugin atualizado.

Alguns utilizadores podem precisar de repor a palavra-passe da conta para conseguirem entrar. Faz esse processo a partir do site a que acedeste diretamente, não através de uma mensagem inesperada.

Evita obter o pacote através de sites de redistribuição não oficiais, incluindo os que distribuem plugins sob a designação GPL: podem continuar a disponibilizar cópias da versão 3.0.123. Descarrega a versão limpa a partir da conta do fornecedor.

O que ajustar na operação dos sites

Um fornecedor comercial de confiança também pode tornar-se um canal de distribuição de malware. As atualizações automáticas têm dois lados neste contexto: são úteis para receber correções, mas também podem instalar um pacote oficial comprometido. Revê a política que aplicas aos plugins comerciais à luz desse risco.

• Mantém cópias de segurança fora do servidor, com retenção. Precisas de conseguir escolher uma cópia anterior ao início de um incidente, não apenas a mais recente.
• Monitoriza e, quando possível, restringe as ligações de saída do servidor web. Inclui esta capacidade na revisão do alojamento e da firewall.
• Usa verificações de somas de verificação. Nos plugins sem esse suporte, mantém a comparação com cópias oficiais limpas como alternativa.
• Define uma política explícita para atualizações automáticas de plugins comerciais. Considera tanto a rapidez de correção como o risco de receber um pacote adulterado.
• Mantém as descargas no canal oficial e desconfia de mensagens de recuperação inesperadas. O incidente não torna seguros os pacotes de redistribuidores nem as ligações recebidas por correio eletrónico.

Próximo passo: confirma o histórico e escolhe a recuperação

Começa por confirmar quando obtiveste a versão 3.0.123 e se a ativaste. Se recebeste uma cópia afetada e a ativaste, escolhe entre restaurar uma cópia limpa e seguir a limpeza manual pela ordem indicada; não encerres o incidente apenas porque o painel já mostra a versão 3.0.124.

Se precisas de esclarecer o caso, abre um pedido no suporte da Rank Math. Inclui a versão do Rank Math PRO e os passos de recuperação que já concluíste, para permitir uma avaliação concreta da situação.