Rank Math SEO PRO 3.0.123 obsahoval malvér: ako skontrolovať a obnoviť web

Malvér sa tentoraz dostal priamo do oficiálnych balíkov komerčného pluginu Rank Math SEO PRO. Zasiahol časť stiahnutí a aktualizácií verzie 3.0.123 medzi 15. októbrom 2026 o 20:02 UTC a 16. októbrom 2026 o 07:12 UTC. Na Slovensku to bolo od 15. októbra o 22:02 do 16. októbra o 09:12 SELČ, teda približne jedenásť hodín.

Rank Math škodlivé balíky odstránil a vydal čistú verziu 3.0.124. Ak si však napadnutý plugin aktivoval, nová verzia sama neodstráni súbory, účty ani naplánované úlohy, ktoré malvér vytvoril mimo pluginu. Takýto web potrebuje obnovu alebo dôkladné vyčistenie.

Čo sa stalo a čo dokáže škodlivý kód

Ide o supply-chain útok, pri ktorom útočník zneužije dodávateľský reťazec softvéru a doručí škodlivý kód cez dôveryhodný distribučný kanál. V tomto prípade malvér obsahoval samotný oficiálny balík pluginu, ktorý si mohol stiahnuť alebo dostať cez aktualizáciu. Nešlo o bežnú programátorskú chybu, ktorú by útočník až následne zneužil.

Incident má identifikátor CVE-2026-111862 v systéme evidencie zraniteľností a skóre CVSS 9,8 z 10, teda kritickú závažnosť. Záznam ho označuje ako „Rank Math SEO PRO 3.0.123 – Unauthenticated Embedded Malicious Code“. Identifikátor pluginu je seo-by-rank-math-pro.

Škodlivý kód sa spustí pri aktivácii napadnutého pluginu a môže útočníkovi zabezpečiť trvalý prístup. Komunikuje s doménou rank1cdn[.]com a pri návštevách webovej stránky dokáže znova vytvárať skryté zadné vrátka. Za potenciálne odhalené preto považuj prístupové údaje WordPressu, databázy, API kľúče a ďalšie tajomstvá, ktoré dokáže čítať proces webového servera.

Oznámenie sa týka iba doplnku PRO; bezplatný plugin Rank Math neuvádza medzi zasiahnutými produktmi. Rank Math nezverejnil, ako útočník balíky pozmenil. Z dostupných informácií nemožno určiť jeho totožnosť ani počet napadnutých webových stránok.

Najprv rozhodni, či potrebuješ obnovu

Samotná verzia 3.0.123 nedokazuje kompromitáciu. Rozhoduje, či balík pochádza z uvedeného časového okna a či si ho aktivoval. V administrácii WordPressu otvor sekciu Pluginy a skontroluj nainštalovanú verziu Rank Math PRO.

1. Napadnutý balík si nainštaloval a aktivoval: považuj webovú stránku za kompromitovanú. Pokračuj obnovou z čistej zálohy alebo manuálnym čistením.
2. Napadnutý balík si nainštaloval, ale nikdy neaktivoval: odstráň jeho súbory, zo svojho účtu Rank Math stiahni čistú verziu 3.0.124 a nainštaluj ju. Preventívne spusti bezpečnostný sken.
3. Napadnutý balík si iba stiahol, ale nenainštaloval ani neaktivoval: tento incident sám osebe nepreukazuje napadnutie webovej stránky. Ak nevieš potvrdiť, či sa súbory predsa len nainštalovali alebo aktivovali, obráť sa na podporu Rank Math.

Rank Math eviduje účty, ktoré si napadnuté kópie stiahli, a upozorňuje ich. Ak si také upozornenie dostal, prejdi príslušný postup aj vtedy, keď už používaš inú verziu. Aktuálne číslo verzie nehovorí, čo sa na webe dialo pred aktualizáciou.

Rýchla diagnostika cez WP-CLI

WP-CLI, nástroj na správu WordPressu z príkazového riadka, ti pomôže preveriť verziu, účty aj podozrivé stopy. Nasledujúce príkazy slúžia na prvotnú kontrolu, nie ako náhrada celého postupu obnovy. Spúšťaj ich v adresári príslušnej inštalácie a pri systémovom crone použi skutočný účet webového servera.

# Aktuálna verzia sama nepotvrdí ani nevylúči staršie napadnutie.
wp plugin get seo-by-rank-math-pro --field=version

# Známe škodlivé položky v databáze.
wp option get _uf6qdn2hmm
wp option get t8krdk990phb
wp option get _np5pvf754c

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
wp core verify-checksums
wp cron event list

ls -la wp-includes/class-wp-cache-util.php

# www-data nahraď účtom webového servera; môžu byť potrebné vyššie oprávnenia.
crontab -l -u www-data | grep -F 'ms6v46'

# Výskyt reťazca je podnet na preskúmanie súboru.
grep -RIn --include='*.php' -- 'xmmqhn' wp-content/

# Aktuálna verzia sama nepotvrdí ani nevylúči staršie napadnutie.
wp plugin get seo-by-rank-math-pro --field=version

# Známe škodlivé položky v databáze.
wp option get _uf6qdn2hmm
wp option get t8krdk990phb
wp option get _np5pvf754c

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
wp core verify-checksums
wp cron event list

ls -la wp-includes/class-wp-cache-util.php

# www-data nahraď účtom webového servera; môžu byť potrebné vyššie oprávnenia.
crontab -l -u www-data | grep -F 'ms6v46'

# Výskyt reťazca je podnet na preskúmanie súboru.
grep -RIn --include='*.php' -- 'xmmqhn' wp-content/

Možnosť A: obnov web a databázu z čistej zálohy

Odporúčanou cestou je záloha vytvorená pred 15. októbrom 2026 o 20:02 UTC, teda pred 22:02 SELČ. Rovnaký okamih zodpovedá 15. októbru o 16:02 EDT a 16. októbru o 01:32 IST. Obnov súbory aj databázu, nie iba priečinok pluginu.

1. Obnov webovú stránku aj databázu zo zálohy, ktorá vznikla pred začiatkom incidentu.
2. Spusti bezpečnostný sken dôveryhodným nástrojom, napríklad Wordfence alebo Sucuri.
3. Vymeň heslá a prístupové údaje. Za potenciálne odhalené považuj všetky tajomstvá dostupné napadnutému webu vrátane databázových údajov a API kľúčov. Úplný zoznam nájdeš nižšie v časti o prístupových údajoch.
4. Nainštaluj čistú verziu Rank Math PRO 3.0.124 zo svojho účtu Rank Math až po obnove webu.

Ak nevieš bezpečne obnoviť zálohu, požiadaj o pomoc hosting. Obnova nevráti späť prípadný únik tajomstiev, preto musíš prístupové údaje vymeniť aj pri tejto možnosti.

Možnosť B: vyčisti web manuálne v správnom poradí

Manuálne čistenie použi vtedy, keď nemáš vhodnú čistú zálohu. Najprv musíš zastaviť mechanizmus, ktorý obnovuje zadné vrátka, až potom odstraňuj jeho ďalšie stopy. Inak môže návšteva webovej stránky znova vytvoriť súbor, ktorý si práve zmazal.

1. Zastav mechanizmus, ktorý obnovuje malvér

Samotné vypnutie pluginu nestačí. Cez správcu súborov na hostingu alebo FTP odstráň celý priečinok Rank Math PRO, v pokynoch označený ako rank-math-pro. Nezamieňaj názov priečinka s identifikátorom pluginu seo-by-rank-math-pro.

1. Odstráň celý priečinok pluginu Rank Math PRO, nie iba jednotlivé podozrivé súbory.
2. Odstráň škodlivé položky z databázy. V phpMyAdmin alebo inom databázovom nástroji otvor tabuľku wp_options a vymaž existujúce záznamy, ktorých option_name je _uf6qdn2hmm, t8krdk990phb alebo _np5pvf754c. Ak inštalácia používa iný prefix tabuliek, otvor zodpovedajúcu tabuľku options.
3. Ak to hosting alebo firewall umožňuje, zablokuj odchádzajúce spojenia na rank1cdn.com. Zápis rank1cdn[.]com v bezpečnostných prehľadoch označuje tú istú doménu bez aktívneho odkazu.

Do ďalšieho kroku prejdi až po odstránení pluginu a škodlivých databázových položiek. Blokovanie domény pridaj všade, kde ho prostredie podporuje.

2. Nájdi a odstráň ďalšie škodlivé zmeny

Útočník mohol zanechať súbory, účty aj zmeny mimo samotného pluginu. Prejdi všetky nasledujúce oblasti, nielen adresáre Rank Math. Indikátory kompromitácie, označované skratkou IOC, ti pomôžu hľadať známe stopy, ale nenahrádzajú kontrolu celého prostredia.

Skryté PHP súbory a zadné vrátka

Podozrivé PHP súbory hľadaj aj medzi ostatnými pluginmi a témami. Osobitne prever tieto umiestnenia:

• wp-content/mu-plugins/
• Priečinky ostatných pluginov.
• Priečinky inc/, includes/ a lib/ v témach, ktoré nepatria medzi predvolené témy WordPressu.
• Priečinok includes/ pluginu Rank Math.

V kóde hľadaj kombináciu base64_decode a cyklov s operáciou XOR, kľúč xmmqhn, volania proc_open alebo kód pracujúci so socketmi PHP-FPM. Nálezy preskúmaj v kontexte celého súboru. S vyhľadaním a odstránením škodlivých súborov ti môže pomôcť bezpečnostný plugin alebo hosting.

Neznáme administrátorské účty

Prejdi používateľov s rolou administrátora a over každý neznámy účet. Medzi podozrivé stopy patria mená začínajúce na wpsupport_, po ktorých nasledujú náhodné znaky, a e-mailové adresy s doménou @wp-mail[.]net. Odstráň účty, pri ktorých potvrdíš škodlivý pôvod alebo neoprávnený prístup.

wp user list --role=administrator

wp user list --role=administrator

Falošný súbor v core WordPressu

Súbor wp-includes/class-wp-cache-util.php nepatrí do legitímneho core WordPressu. Ak ho nájdeš, odstráň ho a over kontrolné súčty, ktoré porovnajú súbory s očakávanou podobou. Súbory core následne preinštaluj z oficiálneho zdroja, aby si nahradil aj prípadné ďalšie zmenené súbory.

wp core verify-checksums

wp core verify-checksums

Pravidlá v .htaccess a súbory .cache

Skontroluj .htaccess v koreňovom adresári webu aj v podadresároch. Hľadaj pravidlá, ktoré dovolia spúšťať súbory s príponou .cache ako PHP kód. Na serveri vyhľadaj aj samotné súbory .cache obsahujúce PHP a každý podozrivý nález preskúmaj.

Systémový cron a udalosti WordPressu

V systémovom crontabe účtu webového servera hľadaj položky označené komentárom #ms6v46. Osobitne prejdi naplánované udalosti WordPressu, pretože ide o iný mechanizmus než systémový cron. Škodlivé úlohy po preskúmaní odstráň.

# www-data nahraď skutočným účtom webového servera.
crontab -l -u www-data

wp cron event list

# www-data nahraď skutočným účtom webového servera.
crontab -l -u www-data

wp cron event list

Ostatné pluginy, témy a nahraté súbory

• Preinštaluj pluginy a témy z ich oficiálnych zdrojov. Kde sa to dá, porovnaj existujúce súbory s čistými kópiami.
• Skontroluj adresár uploads/ a vyhľadaj PHP súbory, ktoré tam spravidla nemajú byť.
• Neočakávané alebo zmenené súbory najprv preskúmaj a až potom rozhodni, ktoré odstrániš.

Zmeny mimo adresára webu

Útočník mohol zasiahnuť aj prostredie mimo inštalácie WordPressu. Rozsah kontroly preto neobmedzuj na súbory webovej stránky. Prever aj tieto miesta:

• Súbory SSH authorized_keys.
• Crontaby ostatných systémových používateľov.
• Bežiace procesy.
• Adresáre mimo webu, do ktorých môže účet webového servera zapisovať.

Na zdieľanom hostingu nemusíš mať do týchto oblastí prístup. V takom prípade požiadaj hosting, aby ich preveril.

3. Vymeň všetky potenciálne odhalené prístupové údaje

Za potenciálne odhalené považuj všetky heslá a tajomstvá, ku ktorým sa napadnutý web mohol dostať. Nahraď ich novými bezpečnými hodnotami až po odstránení škodlivých zmien. Tento krok nevynechaj ani po obnove zo zálohy.

• Heslá: zmeň heslá účtov WordPressu aj ďalšie relevantné prístupové údaje dostupné napadnutému webu.
• Databáza: vymeň databázové používateľské meno a heslo a uprav ich v wp-config.php.
• Bezpečnostné kľúče a salts WordPressu: vygeneruj nové hodnoty v wp-config.php. Ide o tajné hodnoty, ktoré WordPress používa pri ochrane autentifikácie.
• API a pripojené služby: vymeň kľúče platobných brán, prihlasovacie údaje SMTP, API kľúče a ostatné tajomstvá uložené v nastaveniach webu alebo konfiguračných súboroch.
• Hosting a server: vymeň heslá alebo prístupové údaje do ovládacieho panela hostingu, FTP/SFTP a SSH. Prever aj tajomstvá uložené v premenných prostredia.
• Dvojfaktorová autentifikácia: skontroluj ju pri administrátorských účtoch a podľa potreby ju resetuj.

Nové údaje nastav všade, kde ich používa konfigurácia webu alebo pripojená služba. Ak nevieš určiť celý rozsah, prejdi ho s hostingom alebo bezpečnostným špecialistom.

4. Over výsledok a sleduj návrat škodlivých súborov

Po čistení spusti nový bezpečnostný sken cez Wordfence alebo Sucuri. Potom over súbory core WordPressu aj nainštalovaných pluginov. Úspešný sken doplň kontrolou súborov a sledovaním prevádzky.

wp core verify-checksums
wp plugin verify-checksums --all

wp core verify-checksums
wp plugin verify-checksums --all

Kontrolné súčty nemusia byť dostupné pre každý plugin, najmä pri komerčných pluginoch. V takom prípade porovnaj súbory s čistou kópiou od oficiálneho dodávateľa. Chýbajúce kontrolné súčty nie sú potvrdením, že plugin je čistý.

• Počas nasledujúcich dní sleduj odchádzajúce spojenia a nezvyčajnú aktivitu.
• Overuj, či sa odstránené súbory neobjavujú znova.
• Ak sa škodlivé súbory vrátia alebo zaznamenáš podozrivú aktivitu, považuj čistenie za neúplné. Vráť sa ku kroku 2 a zapoj hosting alebo bezpečnostného špecialistu.

Čistý plugin stiahni priamo zo svojho účtu

Po dokončení príslušného postupu obnovy nainštaluj Rank Math PRO 3.0.124. Do prehliadača zadaj priamo rankmath.com, prihlás sa do svojho účtu a otvor sekciu so súbormi na stiahnutie. Ak sa nevieš prihlásiť, môžeš potrebovať obnoviť heslo účtu.

Neoficiálne distribučné weby vrátane webov, ktoré ponúkajú GPL kópie, môžu naďalej poskytovať verziu 3.0.123. Čistý balík preto získaj zo svojho účtu u dodávateľa, nie z cudzieho archívu.

Ak potrebuješ pomôcť s posúdením situácie alebo s výberom postupu obnovy, otvor požiadavku na podporu alebo napíš na support@rankmath.com. Uveď verziu Rank Math PRO a kroky, ktoré si už dokončil, aby podpora vedela nadviazať na aktuálny stav.

Čo upraviť v prevádzke po obnove

Dôveryhodný komerčný dodávateľ nevylučuje supply-chain útok. Automatické aktualizácie prémiových pluginov majú dve strany: rýchlo doručia opravu, ale môžu rovnako rýchlo nasadiť aj kompromitovaný balík. Pri prevádzke preto potrebuješ popri aktualizáciách aj spôsob, ako zmenu overiť a bezpečne sa z nej zotaviť.

• Udržiavaj zálohy mimo servera a nastav dostatočnú históriu, aby si sa vedel vrátiť pred začiatok incidentu.
• Monitoruj a podľa možností obmedz odchádzajúce spojenia webového servera.
• Overuj kontrolné súčty a pri pluginoch bez tejto možnosti porovnávaj súbory s čistými oficiálnymi kópiami.
• Prehodnoť režim automatických aktualizácií prémiových pluginov spolu s kontrolami a postupom obnovy, nie izolovane.
• Sťahuj balíky z účtu u dodávateľa a prihlasovacie ani sťahovacie odkazy nepreberaj z nevyžiadaných e-mailov.

Ak si napadnutý balík aktivoval, uzavri incident až po obnove alebo čistení, výmene prístupových údajov a následnom overení. Keď sa škodlivé stopy vracajú, pokračuj vyšetrovaním servera – opakovaná inštalácia čistého pluginu tento problém nevyrieši.