---
title: "Rank Math SEO PRO 3.0.123: malware în pachetele oficiale și pașii de recuperare"
url: "https://helloblog.io/ro/rank-math-seo-pro-3-0-123-malware-pachete-oficiale-recuperare/"
date: "2026-10-17"
modified: "2026-10-17"
author: "Andrei Ionescu"
language: "ro_RO"
categories: ["Securitate"]
tags: ["malware", "Rank Math", "securitatea pluginurilor", "WordPress", "WP-CLI"]
featured_image: "https://helloblog.io/app/uploads/sites/10/2026/10/featured-1024x576.webp"
excerpt: "Unele pachete oficiale Rank Math PRO 3.0.123 au conținut malware. Verifică dacă ai primit o copie afectată și de ce simpla actualizare la 3.0.124 nu curăță un site compromis."
---

# Rank Math SEO PRO 3.0.123: malware în pachetele oficiale și pașii de recuperare

Dacă ai descărcat sau ai actualizat Rank Math PRO la versiunea 3.0.123 în intervalul **15 octombrie 2026, 20:02 UTC – 16 octombrie 2026, 07:12 UTC**, verifică ce copie ai instalat și dacă ai activat-o. Unele pachete oficiale distribuite în aceste aproximativ 11 ore au conținut malware. Rank Math a retras fișierele afectate și a publicat versiunea curată **3.0.124**.

Nu trata însă incidentul ca pe o actualizare obișnuită de securitate. Dacă ai activat o copie infectată, actualizarea înlocuiește pachetul Rank Math PRO, dar **nu șterge fișierele, conturile de administrator sau sarcinile programate pe care malware-ul le-a creat în alte locuri**.

## Ce s-a întâmplat

Atacatorul a introdus cod malițios în unele pachete oficiale ale pluginului, pe care utilizatorii le-au primit prin descărcare sau actualizare. Acesta este un atac asupra lanțului de distribuție software: problema nu a fost o eroare de programare exploatată într-o copie legitimă, ci chiar pachetul distribuit. Rank Math nu a publicat mecanismul prin care atacatorul a modificat pachetele; nu există aici o bază pentru atribuirea atacului sau pentru estimarea numărului de victime.

Wordfence Intelligence înregistrează incidentul drept **CVE-2026-111862**, cu scorul **CVSS 9,8 – critic**. CVE identifică public vulnerabilitatea, iar CVSS exprimă severitatea tehnică. Înregistrarea descrie cod malițios încorporat care nu necesită autentificare și indică identificatorul pluginului `seo-by-rank-math-pro`.

Malware-ul rulează când activezi pluginul infectat, poate păstra accesul atacatorului și comunică cu domeniul `rank1cdn[.]com`. În plus, poate recrea fișiere ascunse de acces la vizitele pe site. Tratează drept potențial expuse parolele WordPress, credențialele bazei de date, cheile pentru interfețe de programare – API – și celelalte secrete pe care procesul serverului web le poate citi.

#### Versiunea nu confirmă singură compromiterea

Nu toate copiile Rank Math PRO 3.0.123 au conținut malware. Contează dacă ai obținut pachetul în intervalul afectat și dacă l-ai activat. Incidentul privește extensia PRO; notificarea nu indică pluginul gratuit Rank Math drept afectat.

## Verifică în care dintre cele trei situații te afli

Intră în panoul de administrare WordPress și verifică versiunea Rank Math PRO în pagina **Pluginuri**. Corelează versiunea cu momentul în care ai descărcat sau ai primit actualizarea și cu istoricul activării. În ora Europei Centrale, intervalul afectat a fost **15 octombrie, 22:02 CEST – 16 octombrie, 09:12 CEST**.

| Situație | Ce ai de făcut | | — | — | | Ai instalat și activat copia 3.0.123 obținută în intervalul afectat. | Tratează site-ul ca fiind compromis și urmează pașii de recuperare de mai jos. | | Ai instalat copia afectată, dar nu ai activat-o niciodată. | Șterge fișierele pluginului, instalează versiunea curată 3.0.124 din contul Rank Math și rulează preventiv o scanare de securitate. | | Ai descărcat copia afectată, dar nu ai instalat-o și nu ai activat-o. | Acest incident, luat separat, nu indică faptul că site-ul tău a fost compromis. Dacă nu poți confirma ce ai instalat sau activat, cere ajutor echipei de asistență. |

Rank Math păstrează evidența utilizatorilor care au descărcat copiile afectate și îi notifică. Dacă ai primit o notificare, urmează pașii corespunzători situației tale **chiar dacă acum rulezi altă versiune**. Pentru neclarități, poți deschide un [tichet de asistență](https://rankmath.com/support/).

### Comenzi pentru o verificare inițială

Folosește WP-CLI, interfața prin care administrezi WordPress din linia de comandă, pentru a verifica rapid versiunea, câteva urme cunoscute și conturile de administrator. Rulează comenzile din directorul instalării WordPress. Ele ajută la investigație, dar nu înlocuiesc pașii de curățare.

```
# Verifică versiunea instalată.
wp plugin get seo-by-rank-math-pro --field=version

# Caută opțiunile asociate malware-ului.
wp option get _uf6qdn2hmm
wp option get t8krdk990phb
wp option get _np5pvf754c

# Listează administratorii și data înregistrării fiecărui cont.
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

# Compară fișierele WordPress core cu sumele de control oficiale.
wp core verify-checksums

# Listează evenimentele programate în WordPress.
wp cron event list

# Verifică fișierul care imită un fișier WordPress core.
ls -la wp-includes/class-wp-cache-util.php

# Înlocuiește www-data dacă serverul web rulează sub alt utilizator.
# Comanda poate necesita privilegii suplimentare.
crontab -l -u www-data | grep ms6v46

# Caută cheia cunoscută în fișierele din wp-content.
grep -RIn -- 'xmmqhn' wp-content/
```

#### Absența unui indicator nu este un certificat de curățenie

Verifică toate zonele descrise mai jos. Malware-ul poate lăsa acces persistent în afara folderului Rank Math PRO și chiar în afara directorului site-ului.

## Varianta recomandată: revino la o copie de siguranță curată

Dacă ai activat copia infectată, recuperează fișierele site-ului și baza de date dintr-o copie de siguranță creată **înainte de 15 octombrie 2026, 20:02 UTC**. Același prag înseamnă 15 octombrie, 22:02 CEST sau 16:02 EDT, respectiv 16 octombrie, 01:32 IST. Alege o copie despre care poți confirma că este curată.

1. **Restaurează atât fișierele site-ului, cât și baza de date** din copia creată înaintea intervalului afectat.
2. **Rulează o scanare de securitate** cu un instrument reputabil, precum [Wordfence](https://wordpress.org/plugins/wordfence/) sau [Sucuri](https://wordpress.org/plugins/sucuri-scanner/).
3. **Schimbă toate parolele și credențialele potențial expuse.** Urmează integral lista din secțiunea despre credențiale: revenirea la o copie mai veche nu face secretele deja expuse din nou sigure.
4. **Instalează Rank Math PRO 3.0.124**, descărcat din contul tău Rank Math, după ce ai restaurat site-ul și ai parcurs pașii anteriori.

Dacă nu știi cum să restaurezi copia de siguranță, cere ajutor furnizorului de hosting. Verifică apoi și mediul serverului, nu doar directorul WordPress, pentru că atacatorul ar fi putut modifica zone pe care copia site-ului nu le acoperă.

## Fără o copie curată: curăță manual, în ordinea corectă

Oprește mai întâi mecanismul prin care malware-ul își reface accesul ascuns și abia apoi șterge celelalte urme. O vizită pe site poate declanșa recrearea fișierelor malițioase, așa că ștergerea lor izolată nu rezolvă neapărat incidentul. Dacă nu lucrezi în siguranță cu fișierele, baza de date și setările serverului, lasă acești pași furnizorului de hosting sau unui specialist în securitate.

### 1. Oprește mecanismul care recreează malware-ul

Finalizează toate acțiunile de mai jos înainte să cauți și să elimini celelalte modificări. **Simpla dezactivare a pluginului nu este suficientă.**

1. **Șterge întregul folder al pluginului Rank Math PRO.** Folosește managerul de fișiere al hostingului sau accesul prin protocolul de transfer de fișiere FTP. Instrucțiunile incidentului indică folderul `rank-math-pro`; identifică directorul instalării PRO înainte să îl ștergi.
2. **Șterge intrările malițioase din baza de date.** În phpMyAdmin sau într-un instrument similar, deschide tabelul `wp_options` și caută valorile `option_name` `_uf6qdn2hmm`, `t8krdk990phb` și `_np5pvf754c`. Șterge intrările corespunzătoare pe care le găsești. Dacă instalarea folosește alt prefix pentru tabele, verifică tabelul de opțiuni cu acel prefix.
3. **Blochează conexiunile de ieșire către `rank1cdn.com`, dacă poți.** Aplică regula prin firewall sau cere furnizorului de hosting să o aplice.

### 2. Caută și elimină celelalte modificări malițioase

Atacatorul poate păstra accesul prin fișiere suplimentare, conturi sau modificări la nivelul serverului. Parcurge fiecare zonă din lista următoare; nu te opri după primul fișier suspect.

#### Fișiere ascunse care păstrează accesul

Caută fișiere PHP suspecte care funcționează ca backdoor, adică îi permit atacatorului să reintre în sistem. Verifică separat următoarele directoare:

- `wp-content/mu-plugins/`, unde WordPress încarcă automat pluginurile obligatorii.
- Directoarele celorlalte pluginuri.
- Directoarele `inc/`, `includes/` și `lib/` ale temelor care nu fac parte din temele implicite WordPress.
- Directorul `includes/` al pluginului Rank Math.

Caută cod care combină `base64_decode` cu bucle XOR, operații care pot masca instrucțiunile malițioase, precum și cheia `xmmqhn`. Investighează și aparițiile `proc_open` sau codul care folosește socketuri PHP-FPM, canalele de comunicare cu managerul proceselor PHP. Un plugin de securitate sau furnizorul de hosting te poate ajuta să cauți acești indicatori și să elimini fișierele malițioase.

#### Conturi de administrator necunoscute

Examinează toate conturile cu privilegii de administrator. Acordă atenție numelor care încep cu `wpsupport_` și continuă cu caractere aleatorii, precum și adreselor de e-mail cu domeniul `@wp-mail[.]net`. Elimină conturile pe care le confirmi drept malițioase sau neautorizate.

```
wp user list --role=administrator
```

#### Un fișier fals din WordPress core

Verifică dacă există `wp-includes/class-wp-cache-util.php`. **Acesta nu este un fișier legitim din WordPress core.** Dacă îl găsești, șterge-l și verifică sumele de control, adică valorile prin care compari integritatea fișierelor cu exemplarele oficiale.

```
wp core verify-checksums
```

Reinstalează fișierele WordPress core dintr-o sursă oficială, pentru a înlocui și eventualele alte fișiere modificate. Nu limita intervenția la fișierul fals pe care l-ai identificat.

#### Reguli în .htaccess și fișiere .cache

Examinează fișierul `.htaccess` din directorul principal al site-ului și fișierele cu același nume din subdirectoare. Caută reguli care permit executarea fișierelor `.cache` drept cod PHP. Caută apoi pe server fișiere `.cache` care conțin PHP și investighează rezultatele suspecte.

#### Sarcini programate în sistem și în WordPress

Verifică crontabul utilizatorului sub care rulează serverul web, adică lista sarcinilor pe care sistemul le execută periodic. Caută în special intrări marcate cu `#ms6v46`. Separat, examinează evenimentele programate în WordPress și elimină sarcinile pe care le confirmi drept malițioase.

```
# Adaptează utilizatorul la configurația serverului.
crontab -l -u www-data | grep ms6v46

# Verifică separat evenimentele programate în WordPress.
wp cron event list
```

#### Alte pluginuri, teme și fișiere încărcate

- Reinstalează pluginurile și temele din sursele oficiale. Compară fișierele cu exemplare curate acolo unde poți.
- Verifică directorul `uploads/` pentru fișiere PHP; în general, acestea nu ar trebui să existe acolo.
- Investighează fișierele neașteptate sau modificate înainte să le ștergi.

#### Mediul serverului, dincolo de WordPress

Verifică și locurile din afara instalării WordPress în care atacatorul ar fi putut păstra accesul. Dacă folosești hosting partajat și nu ai permisiunile necesare, cere furnizorului să examineze aceste zone.

- Fișierele `authorized_keys` folosite pentru accesul SSH, protocolul de acces securizat la server.
- Crontaburile celorlalți utilizatori ai sistemului.
- Procesele care rulează pe server.
- Directoarele din afara site-ului în care utilizatorul serverului web poate scrie.

### 3. Schimbă toate parolele și credențialele

Înlocuiește secretele la care site-ul compromis putea avea acces, chiar dacă nu ai o dovadă că atacatorul le-a extras. **Acest pas este obligatoriu și după recuperarea dintr-o copie de siguranță.** Alege valori noi și sigure, apoi actualizează configurația site-ului și serviciile conectate oriunde folosesc credențialele vechi.

- **Toate parolele relevante:** schimbă parolele conturilor WordPress și celelalte parole accesibile site-ului compromis.
- **Credențialele bazei de date:** schimbă utilizatorul și parola bazei de date, apoi actualizează valorile din `wp-config.php`.
- **Cheile de securitate și valorile salt din WordPress:** regenerează valorile din `wp-config.php` pe care WordPress le folosește pentru protejarea autentificării și a sesiunilor.
- **Cheile API și credențialele serviciilor:** înlocuiește cheile procesatorilor de plăți, credențialele SMTP pentru trimiterea e-mailurilor, celelalte chei API și secretele din setările site-ului sau din fișierele de configurare.
- **Accesul la hosting și server:** schimbă parolele sau credențialele panoului de hosting, ale accesului FTP, SFTP – transfer securizat de fișiere – și SSH. Verifică și secretele din variabilele de mediu.
- **Autentificarea cu doi factori:** verifică setările conturilor de administrator și resetează-le acolo unde este necesar.

Dacă nu poți stabili ce credențiale putea citi site-ul, cere furnizorului de hosting sau specialistului în securitate să le inventarieze împreună cu tine. Nu te limita la parolele utilizatorilor WordPress.

### 4. Verifică rezultatul curățării

După ce ai eliminat modificările și ai schimbat credențialele, verifică din nou fișierele și comportamentul site-ului. Parcurge toate cele cinci controale:

1. Rulează o scanare de securitate cu Wordfence, Sucuri sau un alt instrument reputabil.
2. Verifică fișierele WordPress core cu `wp core verify-checksums`.
3. Verifică pluginurile instalate cu `wp plugin verify-checksums --all`. Nu toate pluginurile, în special cele premium, au sume de control disponibile. În aceste cazuri, compară fișierele cu o copie curată obținută din sursa oficială.
4. Monitorizează conexiunile de ieșire și urmărește activitatea suspectă în zilele următoare.
5. Verifică dacă fișierele pe care le-ai șters reapar.

```
wp core verify-checksums
wp plugin verify-checksums --all
```

#### Dacă fișierele reapar, continuă investigația

Reapariția fișierelor suspecte sau activitatea neobișnuită poate indica o curățare incompletă. Reia pasul 2, în care verifici celelalte modificări malițioase, și cere furnizorului de hosting sau unui specialist să investigheze mai departe.

## Indicatorii de compromitere pe care să îi cauți

Folosește următorii indicatori de compromitere, numiți și IOC, pentru căutări în fișiere, baze de date și jurnale. Ei grupează urmele cunoscute ale incidentului, dar nu înlocuiesc verificarea întregului mediu.

- **Domeniu de comunicare:** `rank1cdn[.]com`; pentru regula de blocare, domeniul este `rank1cdn.com`.
- **Opțiuni în baza de date:** `_uf6qdn2hmm`, `t8krdk990phb`, `_np5pvf754c`.
- **Cheie în codul suspect:** `xmmqhn`.
- **Tipare de cod:** `base64_decode` împreună cu bucle XOR, `proc_open` sau cod pentru socketuri PHP-FPM.
- **Nume de conturi suspecte:** `wpsupport_` urmat de caractere aleatorii.
- **Domeniu al adreselor de e-mail suspecte:** `@wp-mail[.]net`.
- **Fișier fals din WordPress core:** `wp-includes/class-wp-cache-util.php`.
- **Marcaj în sarcinile cron ale sistemului:** `#ms6v46`.
- **Alte urme de investigat:** fișiere `.cache` cu PHP și reguli `.htaccess` care permit executarea lor.

## Instalează copia curată fără să urmezi linkuri din e-mailuri

După ce ai parcurs recuperarea potrivită situației tale, instalează **Rank Math PRO 3.0.124**. Introdu direct `rankmath.com` în browser, autentifică-te în cont și descarcă pluginul din secțiunea de descărcări. Dacă nu te poți autentifica, poate fi necesar să resetezi parola contului.

Rank Math precizează că nu trimite prin e-mail linkuri pentru autentificare sau descărcare. Tratează drept suspecte mesajele nesolicitate care îți cer să urmezi un link pentru resetarea parolei sau pentru descărcarea pluginului. Pornește orice astfel de operațiune din site-ul pe care îl deschizi direct.

Evită copiile de pe site-uri neoficiale sau de redistribuire GPL, licența publică generală: acestea pot continua să ofere versiunea 3.0.123. Descarcă pachetul din contul furnizorului. Dacă ai nevoie de ajutor, scrie la `support@rankmath.com` sau deschide un [tichet de asistență](https://rankmath.com/support/) și include versiunea PRO, situația site-ului și pașii de recuperare pe care i-ai parcurs deja.

## Ce să schimbi în administrarea site-urilor

Include și furnizorii comerciali de încredere în scenariile tale de răspuns la incidente: un pachet oficial poate deveni chiar calea de intrare. Pentru site-urile pe care le administrezi, verifică acum dacă poți reveni la o copie curată și dacă poți detecta schimbările care apar după o actualizare.

- **Reevaluează actualizările automate ale pluginurilor premium.** Ele ajută la aplicarea rapidă a remediilor, dar pot distribui automat și un pachet compromis. Stabilește cum verifici site-ul după actualizare.
- **Păstrează copii de siguranță în afara serverului site-ului și reține mai multe versiuni istorice.** Ai nevoie de o copie anterioară incidentului, nu doar de ultima copie disponibilă.
- **Monitorizează și restricționează conexiunile de ieșire ale serverului web.** Include aceste conexiuni în verificările curente și în investigațiile de securitate.
- **Verifică integritatea fișierelor.** Folosește sumele de control acolo unde există și copii oficiale curate pentru pluginurile care nu oferă această verificare.
- **Păstrează o procedură pentru schimbarea credențialelor și pentru accesul la furnizorul de hosting.** Într-un incident, trebuie să poți interveni și în afara WordPress.
- **Obține pluginurile din contul furnizorului și verifică mesajele primite.** Nu transforma un e-mail care pretinde că oferă o soluție de securitate într-un al doilea punct de intrare.

## Referințe / Surse

- [Rank Math PRO 3.0.123 Security Incident: How to Secure Your Website](https://rankmath.com/kb/pro-3-0-123-security-incident/)
- [Wordfence PSA: Rank Math SEO PRO 3.0.123 malware](https://www.wordfence.com/blog/2026/10/rank-math-seo-pro-3-0-123-malware/)
- [Rank Math SEO PRO 3.0.123 – Unauthenticated Embedded Malicious Code](https://www.wordfence.com/threat-intel/vulnerabilities/id/81cd7a2c-ad0c-4dbc-b5dc-07ec866d5c1f)