Rank Math PRO 3.0.123: zlonamerna koda v uradnih paketih in koraki za sanacijo

Če si med 15. in 16. oktobrom 2026 prenesel ali posodobil Rank Math PRO, preveri čas prenosa in potek namestitve. Del uradnih paketov različice 3.0.123 je vseboval zlonamerno kodo, ki se zažene ob aktivaciji vtičnika. Rank Math je prizadete pakete umaknil in izdal čisto različico 3.0.124.

Najpomembnejše opozorilo: posodobitev vtičnika ne pomeni, da si očistil spletno mesto. Različica 3.0.124 nadomesti datoteke vtičnika, ne odstrani pa drugih datotek, skrbniških računov ali opravil cron, ki jih je zlonamerna koda že ustvarila drugje.

Kaj se je zgodilo in katero časovno okno šteje

Napadalec je posegel v dobavno verigo: zlonamerna koda je prispela v uradnem paketu vtičnika prek prenosa ali posodobitve. Ne gre za programsko napako, ki bi jo napadalec šele moral izkoristiti. Rank Math podrobnosti o tem, kako je nekdo spremenil pakete, ni objavil.

Incident ima oznako CVE-2026-111862, torej identifikator v sistemu za evidentiranje ranljivosti. Sistem CVSS, ki ocenjuje njihovo resnost, mu pripisuje 9,8 oziroma kritično stopnjo. Zapis opisuje vdelano zlonamerno kodo, za katere delovanje napadalec ne potrebuje prijave.

• Prizadeto časovno okno: od 15. oktobra 2026 ob 20.02 UTC do 16. oktobra 2026 ob 7.12 UTC, približno 11 ur.
• Po slovenskem poletnem času CEST: od 15. oktobra ob 22.02 do 16. oktobra ob 9.12.
• Prizadeta različica: samo del paketov Rank Math PRO 3.0.123, ki so jih uporabniki pridobili v tem obdobju.
• Čista različica: Rank Math PRO 3.0.124.
• Identifikator vtičnika: seo-by-rank-math-pro.
• Obseg opozorila: dodatek PRO. Brezplačnega vtičnika Rank Math opozorilo ne navaja kot prizadetega.

Sama oznaka različice 3.0.123 zato še ne dokazuje okužbe. Rank Math ima podatke o uporabnikih, ki so prenesli prizadete kopije, in jih obvešča. Če si prejel obvestilo, opravi ustrezne korake tudi takrat, ko spletno mesto že uporablja drugo različico.

Najprej ugotovi, v kateri primer spadaš

V nadzorni plošči WordPressa odpri Vtičniki in preveri različico Rank Math PRO. Nato preveri še, kdaj si paket pridobil ter ali si ga namestil in aktiviral. Za prizadeti paket veljajo trije različni postopki.

1. Prizadeto različico 3.0.123 si namestil in aktiviral: spletno mesto obravnavaj kot kompromitirano. Nadaljuj z obnovo iz čiste varnostne kopije ali s celotnim ročnim čiščenjem.
2. Prizadeto različico 3.0.123 si namestil, vendar je nikoli nisi aktiviral: izbriši njene datoteke, iz računa Rank Math prenesi čisto različico 3.0.124 in jo namesti. Iz previdnosti opravi še varnostni pregled.
3. Prizadeto različico 3.0.123 si samo prenesel, nisi pa je namestil ali aktiviral: sam ta incident ne kaže, da bi napadalec kompromitiral spletno mesto. Če ne veš, ali je kdo datoteke namestil ali aktiviral, se obrni na podporo Rank Math.

Možnost 1: obnovi spletno mesto iz čiste varnostne kopije

Če si prizadeti paket aktiviral, je priporočena pot obnova datotek in podatkovne baze iz kopije, ki je nastala pred 15. oktobrom 2026 ob 22.02 po slovenskem času. To je isti trenutek kot 15. oktober ob 20.02 UTC oziroma 16.02 EDT in 16. oktober ob 1.32 IST. Kopija mora torej izvirati iz časa pred začetkom incidenta.

1. Obnovi datoteke spletnega mesta in podatkovno bazo iz čiste kopije pred začetkom prizadetega obdobja.
2. Opravi varnostni pregled z uveljavljenim orodjem, kot sta Wordfence ali Sucuri.
3. Zamenjaj vsa gesla in druge poverilnice. Predpostavi, da je napadalec lahko prebral skrivnosti na spletnem mestu. Spodnji kontrolni seznam zajema tudi dostop do podatkovne baze in ključe API.
4. Namesti čisto različico Rank Math PRO 3.0.124, ki jo preneseš iz računa Rank Math.

Če ne veš, kako varno obnoviti kopijo, prosi ponudnika gostovanja za pomoč. Tudi po obnovi zamenjaj poverilnice in opravi končno preverjanje; stare datoteke same po sebi ne prekličejo podatkov za dostop, ki jih je napadalec morda že pridobil.

Možnost 2: ročno očisti spletno mesto v pravilnem vrstnem redu

Če čiste kopije nimaš ali je ne moreš obnoviti, moraš odstraniti zlonamerno kodo in preveriti druge posege napadalca. Vrstni red je bistven: najprej ustavi mehanizem, ki ob obiskih znova ustvarja stranske vhode, šele nato odstranjuj njegove preostanke. Če nisi domač pri delu z datotekami, podatkovno bazo in strežniškimi nastavitvami, postopek prepusti ponudniku gostovanja ali varnostnemu strokovnjaku.

1. Ustavi mehanizem, ki znova ustvarja zlonamerne datoteke

Pred nadaljnjim čiščenjem opravi vse tri spodnje ukrepe. Sam izklop vtičnika ne zadošča, prav tako ne zgolj brisanje ene sumljive datoteke.

1. Izbriši celotno mapo dodatka Rank Math PRO. Z upravljalnikom datotek pri gostovanju ali prek FTP poišči in odstrani mapo rank-math-pro. Ne ustavi se pri deaktivaciji.
2. Odstrani zlonamerne vnose iz podatkovne baze. V orodju, kot je phpMyAdmin, odpri tabelo wp_options in poišči vrstice, kjer ima option_name vrednost _uf6qdn2hmm, t8krdk990phb ali _np5pvf754c. Izbriši vse najdene vnose s temi imeni; če uporabljaš drugo predpono tabel, odpri ustrezno tabelo options.
3. Blokiraj odhodne povezave do rank1cdn.com, če okolje to omogoča. Blokado uredi pri ponudniku gostovanja ali na požarnem zidu.

2. Poišči preostale posege in znake kompromitacije

Napadalec lahko za seboj pusti datoteke, račune in spremembe na ravni strežnika. Spodnji seznam kazalnikov kompromitacije oziroma IOC ti pomaga usmeriti pregled, vendar ne nadomesti pregleda celotnega okolja. Preveri vsako od navedenih področij.

Skriti stranski vhodi v datotekah PHP

Preglej imenik wp-content/mu-plugins/, mape drugih vtičnikov in mape inc/, includes/ ter lib/ pri temah, ki niso privzete teme WordPressa. Preveri tudi mapo includes/ vtičnika Rank Math. V teh lokacijah išči sumljive datoteke PHP.

Posebej preveri kodo, ki združuje base64_decode z zankami XOR, torej z bitno operacijo izključujoči ALI. Drugi kazalniki so ključ xmmqhn, klici proc_open in koda za komunikacijo prek vtičnic PHP-FPM, upravljalnika procesov PHP. Pri iskanju in presoji datotek ti lahko pomagata varnostni vtičnik ali ponudnik gostovanja.

Neznani skrbniški računi

Preglej vse uporabnike s skrbniškimi pravicami in preveri, ali poznaš njihov namen. Pozornost nameni uporabniškim imenom s predpono wpsupport_ in naključnimi znaki ter e-poštnim naslovom, ki se končajo z @wp-mail[.]net. Odstrani račune, za katere potrdiš, da so zlonamerni ali nepooblaščeni.

Lažna datoteka WordPress core

Datoteka wp-includes/class-wp-cache-util.php ne spada med legitimne datoteke WordPress core. Če jo najdeš, jo odstrani in z ukazom wp core verify-checksums preveri kontrolne vsote. Nato znova namesti datoteke WordPress core iz uradnega vira, da odpraviš tudi morebitne druge spremembe v njih.

Pravila v .htaccess in datoteke .cache

Preglej .htaccess v korenskem imeniku spletnega mesta in v podimenikih. Išči pravila, ki dovolijo, da strežnik datoteke s končnico .cache izvaja kot PHP. Na strežniku poišči tudi datoteke .cache, ki vsebujejo kodo PHP, in razišči sumljive zadetke.

Sistemska opravila cron in dogodki WordPressa

V sistemskem razporejevalniku cron preveri opravila uporabnika, pod katerim teče spletni strežnik. Išči predvsem vnose z oznako #ms6v46. Ločeno preglej še načrtovane dogodke WordPressa z ukazom wp cron event list ter razišči in odstrani zlonamerna opravila.

Drugi vtičniki, teme in naložene datoteke

• Znova namesti vtičnike in teme iz njihovih uradnih virov. Kjer lahko, obstoječe datoteke primerjaj s čistimi kopijami.
• V imeniku uploads/ poišči datoteke PHP, saj praviloma ne sodijo tja.
• Preden izbrišeš nepričakovano ali spremenjeno datoteko, preveri njen namen in vsebino.

Spremembe zunaj imenika spletnega mesta

Pregled naj se ne konča pri WordPressu, saj je napadalec lahko posegel tudi drugam. Če na deljenem gostovanju nimaš dostopa do spodnjih področij, zahtevaj pregled pri ponudniku.

• Preveri datoteke authorized_keys, ki določajo dovoljene ključe za dostop SSH.
• Preglej opravila cron drugih sistemskih uporabnikov.
• Preveri procese, ki trenutno tečejo.
• Preglej lokacije zunaj imenika spletnega mesta, kamor lahko piše uporabnik spletnega strežnika.

Ukazi za hiter tehnični pregled

Z WP-CLI, orodjem za upravljanje WordPressa iz ukazne vrstice, lahko hitro preveriš različico, sumljive nastavitve, skrbnike in načrtovane dogodke. Naslednji ukazi služijo pregledu, ne čiščenju. Uporabi jih v okviru zgornjega postopka; ne preskoči koraka, ki ustavi ponovno ustvarjanje zlonamernih datotek.

# Različica dodatka; po odstranitvi vtičnika ta ukaz ne bo več našel.
wp plugin get seo-by-rank-math-pro --field=version

# Znana imena zlonamernih nastavitev v podatkovni bazi.
wp option get _uf6qdn2hmm
wp option get t8krdk990phb
wp option get _np5pvf754c

# Skrbniški računi in čas njihovega nastanka.
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

# Kontrolne vsote datotek WordPress core in dogodki WordPressa.
wp core verify-checksums
wp cron event list

# Znana lažna datoteka core in ključ v datotekah wp-content.
ls -la wp-includes/class-wp-cache-util.php
grep -RIn -- 'xmmqhn' wp-content/

# Zahteva ustrezne pravice; www-data zamenjaj z dejanskim uporabnikom strežnika.
crontab -l -u www-data | grep -- 'ms6v46'

# Različica dodatka; po odstranitvi vtičnika ta ukaz ne bo več našel.
wp plugin get seo-by-rank-math-pro --field=version

# Znana imena zlonamernih nastavitev v podatkovni bazi.
wp option get _uf6qdn2hmm
wp option get t8krdk990phb
wp option get _np5pvf754c

# Skrbniški računi in čas njihovega nastanka.
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

# Kontrolne vsote datotek WordPress core in dogodki WordPressa.
wp core verify-checksums
wp cron event list

# Znana lažna datoteka core in ključ v datotekah wp-content.
ls -la wp-includes/class-wp-cache-util.php
grep -RIn -- 'xmmqhn' wp-content/

# Zahteva ustrezne pravice; www-data zamenjaj z dejanskim uporabnikom strežnika.
crontab -l -u www-data | grep -- 'ms6v46'

Odsotnost posameznega kazalnika ni nadomestilo za celoten pregled. Preveriti moraš tudi .htaccess, datoteke .cache, druge teme in vtičnike ter spremembe zunaj namestitve WordPressa.

3. Zamenjaj gesla, ključe in druge poverilnice

Po odstranitvi zlonamerne kode predpostavi, da je napadalec lahko prebral vse skrivnosti, do katerih je imelo kompromitirano spletno mesto dostop. Ta korak velja tudi po obnovi iz varnostne kopije. Poverilnice nadomesti z novimi, varnimi vrednostmi.

• Vsa relevantna gesla: zamenjaj gesla računov WordPressa in druge podatke za dostop, ki jih je spletno mesto lahko prebralo.
• Dostop do podatkovne baze: zamenjaj uporabniško ime in geslo ter ustrezno popravi wp-config.php.
• Varnostni ključi in soli WordPressa: ustvari nove vrednosti za ključe in soli v wp-config.php.
• Ključi API in dostop do storitev: zamenjaj ključe plačilnih prehodov, prijavne podatke SMTP za pošiljanje pošte, druge ključe API in skrivnosti v nastavitvah ali konfiguracijskih datotekah.
• Gostovanje in strežnik: zamenjaj gesla oziroma poverilnice za nadzorno ploščo gostovanja, FTP/SFTP in SSH. Preglej tudi skrivnosti v okoljskih spremenljivkah.
• Dvofaktorska avtentikacija: preveri nastavitve skrbniških računov in jih po potrebi ponastavi.

Nove podatke vnesi povsod, kjer jih spletno mesto in povezane storitve potrebujejo. Če ne veš, katere skrivnosti je okolje hranilo ali razkrivalo, naj njihov pregled opravi ponudnik gostovanja ali varnostni strokovnjak.

4. Preveri rezultat čiščenja

Ko končaš čiščenje in zamenjaš poverilnice, preveri datoteke ter spremljaj delovanje spletnega mesta. Ne zanašaj se samo na to, da se nadzorna plošča spet normalno odpre.

1. Opravi varnostni pregled z uveljavljenim orodjem, kot sta Wordfence ali Sucuri.
2. Preveri kontrolne vsote datotek WordPress core z ukazom wp core verify-checksums.
3. Preveri datoteke nameščenih vtičnikov z ukazom wp plugin verify-checksums --all. Preverjanje ni na voljo za vsak vtičnik, zlasti ne za vse plačljive vtičnike. Kadar kontrolnih vsot ni, datoteke primerjaj s čisto kopijo iz uradnega vira.
4. V naslednjih dneh spremljaj odhodne povezave in drugo sumljivo dejavnost.
5. Preverjaj, ali se datoteke, ki si jih odstranil, znova pojavijo.

Čisto različico prenesi neposredno iz računa Rank Math

Ko opraviš ustrezni postopek sanacije, namesti Rank Math PRO 3.0.124. V brskalniku neposredno odpri rankmath.com, se prijavi v račun in v razdelku za prenose poišči posodobljeni paket. Če prijava ne uspe, bo morda treba ponastaviti geslo računa.

Rank Math ne pošilja prijavnih povezav ali povezav za prenos po e-pošti. Nepričakovano sporočilo, ki zahteva klik na povezavo za ponastavitev gesla ali prenos vtičnika, zato obravnavaj kot sumljivo. Do računa vedno dostopaj tako, da naslov odpreš neposredno.

Neuradna spletišča za distribucijo vtičnikov, tudi tista, ki ponujajo kopije pod oznako GPL, lahko še vedno strežejo različico 3.0.123. Paket zato pridobi iz računa pri ponudniku, ne iz neuradnega arhiva.

Kaj spremeni v postopkih vzdrževanja

Tudi zaupanja vreden komercialni ponudnik je lahko člen napada na dobavno verigo. Samodejne posodobitve so zato pri plačljivih vtičnikih dvorezen meč: hitro dostavijo popravke, vendar lahko po isti poti prispe tudi kompromitiran paket. Ta incident je razlog za pregled zaščitnih mehanizmov, ne za slepo zaupanje eni sami nastavitvi.

• Hrani varnostne kopije zunaj strežnika spletnega mesta in ohrani dovolj dolgo zgodovino, da lahko posežeš po kopiji pred incidentom.
• Preglej politiko samodejnih posodobitev plačljivih vtičnikov skupaj s postopkom obnove in varnostnega pregleda.
• Spremljaj in po potrebi omeji odhodne povezave spletnega strežnika, da lažje zaznaš komunikacijo z zlonamernimi domenami.
• Preverjaj kontrolne vsote datotek, kjer so na voljo; drugje uporabi čiste pakete iz uradnih virov.
• Pazi na lažna varnostna sporočila in ne odpiraj nepričakovanih prijavnih ali prenosnih povezav, ki se predstavljajo kot sporočila Rank Math.

Najprej razjasni čas prenosa in aktivacijo prizadetega paketa. Če si ga aktiviral, izberi obnovo ali celotno ročno sanacijo in ne zaključi zgolj s posodobitvijo. Kadar potrebuješ pomoč pri izbiri postopka, odpri zahtevek pri podpori Rank Math ter navedi različico dodatka in korake, ki si jih že opravil.