{"id":290,"date":"2026-10-17T11:03:36","date_gmt":"2026-10-17T09:03:36","guid":{"rendered":"https:\/\/helloblog.io\/sl\/rank-math-pro-3-0-123-zlonamerna-koda-sanacija\/"},"modified":"2026-10-17T11:03:36","modified_gmt":"2026-10-17T09:03:36","slug":"rank-math-pro-3-0-123-zlonamerna-koda-sanacija","status":"publish","type":"post","link":"https:\/\/helloblog.io\/sl\/rank-math-pro-3-0-123-zlonamerna-koda-sanacija\/","title":{"rendered":"Rank Math PRO 3.0.123: zlonamerna koda v uradnih paketih in koraki za sanacijo"},"content":{"rendered":"\n<p class=\"wp-block-paragraph\">\u010ce si med 15. in 16. oktobrom 2026 prenesel ali posodobil Rank Math PRO, preveri \u010das prenosa in potek namestitve. Del uradnih paketov razli\u010dice <strong>3.0.123<\/strong> je vseboval zlonamerno kodo, ki se za\u017eene ob aktivaciji vti\u010dnika. Rank Math je prizadete pakete umaknil in izdal \u010disto razli\u010dico <strong>3.0.124<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Najpomembnej\u0161e opozorilo: <strong>posodobitev vti\u010dnika ne pomeni, da si o\u010distil spletno mesto<\/strong>. Razli\u010dica 3.0.124 nadomesti datoteke vti\u010dnika, ne odstrani pa drugih datotek, skrbni\u0161kih ra\u010dunov ali opravil cron, ki jih je zlonamerna koda \u017ee ustvarila drugje.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Kaj se je zgodilo in katero \u010dasovno okno \u0161teje<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Napadalec je posegel v dobavno verigo: zlonamerna koda je prispela v uradnem paketu vti\u010dnika prek prenosa ali posodobitve. Ne gre za programsko napako, ki bi jo napadalec \u0161ele moral izkoristiti. Rank Math podrobnosti o tem, kako je nekdo spremenil pakete, ni objavil.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Incident ima oznako <strong>CVE-2026-111862<\/strong>, torej identifikator v sistemu za evidentiranje ranljivosti. Sistem CVSS, ki ocenjuje njihovo resnost, mu pripisuje <strong>9,8 oziroma kriti\u010dno stopnjo<\/strong>. Zapis opisuje vdelano zlonamerno kodo, za katere delovanje napadalec ne potrebuje prijave.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n\n<li><strong>Prizadeto \u010dasovno okno:<\/strong> od 15. oktobra 2026 ob 20.02 UTC do 16. oktobra 2026 ob 7.12 UTC, pribli\u017eno 11 ur.<\/li>\n\n\n<li><strong>Po slovenskem poletnem \u010dasu CEST:<\/strong> od 15. oktobra ob 22.02 do 16. oktobra ob 9.12.<\/li>\n\n\n<li><strong>Prizadeta razli\u010dica:<\/strong> samo del paketov Rank Math PRO 3.0.123, ki so jih uporabniki pridobili v tem obdobju.<\/li>\n\n\n<li><strong>\u010cista razli\u010dica:<\/strong> Rank Math PRO 3.0.124.<\/li>\n\n\n<li><strong>Identifikator vti\u010dnika:<\/strong> <code>seo-by-rank-math-pro<\/code>.<\/li>\n\n\n<li><strong>Obseg opozorila:<\/strong> dodatek PRO. Brezpla\u010dnega vti\u010dnika Rank Math opozorilo ne navaja kot prizadetega.<\/li>\n\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Sama oznaka razli\u010dice 3.0.123 zato <strong>\u0161e ne dokazuje oku\u017ebe<\/strong>. Rank Math ima podatke o uporabnikih, ki so prenesli prizadete kopije, in jih obve\u0161\u010da. \u010ce si prejel obvestilo, opravi ustrezne korake tudi takrat, ko spletno mesto \u017ee uporablja drugo razli\u010dico.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Najprej ugotovi, v kateri primer spada\u0161<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">V nadzorni plo\u0161\u010di WordPressa odpri <strong>Vti\u010dniki<\/strong> in preveri razli\u010dico Rank Math PRO. Nato preveri \u0161e, kdaj si paket pridobil ter ali si ga namestil in aktiviral. Za prizadeti paket veljajo trije razli\u010dni postopki.<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n\n<li><strong>Prizadeto razli\u010dico 3.0.123 si namestil in aktiviral:<\/strong> spletno mesto obravnavaj kot kompromitirano. Nadaljuj z obnovo iz \u010diste varnostne kopije ali s celotnim ro\u010dnim \u010di\u0161\u010denjem.<\/li>\n\n\n<li><strong>Prizadeto razli\u010dico 3.0.123 si namestil, vendar je nikoli nisi aktiviral:<\/strong> izbri\u0161i njene datoteke, iz ra\u010duna Rank Math prenesi \u010disto razli\u010dico 3.0.124 in jo namesti. Iz previdnosti opravi \u0161e varnostni pregled.<\/li>\n\n\n<li><strong>Prizadeto razli\u010dico 3.0.123 si samo prenesel, nisi pa je namestil ali aktiviral:<\/strong> sam ta incident ne ka\u017ee, da bi napadalec kompromitiral spletno mesto. \u010ce ne ve\u0161, ali je kdo datoteke namestil ali aktiviral, se obrni na <a href=\"https:\/\/rankmath.com\/support\/\">podporo Rank Math<\/a>.<\/li>\n\n<\/ol>\n\n\n\n<div class=\"wp-block-group callout callout-warning is-style-warning is-layout-flow wp-block-group-is-layout-flow\" style=\"border-width:1px;border-radius:8px;padding-top:1rem;padding-right:1.5rem;padding-bottom:1rem;padding-left:1.5rem\">\n\n<h4 class=\"wp-block-heading callout-title\">Po aktivaciji ra\u010dunaj tudi na dostop zunaj vti\u010dnika<\/h4>\n\n\n<p class=\"wp-block-paragraph\">Zlonamerna koda lahko vzpostavi trajni dostop in ob obiskih spletnega mesta znova ustvari skrite stranske vhode. Ogrozi lahko prijavne podatke WordPressa, podatke za dostop do podatkovne baze, klju\u010de API in druge skrivnosti, ki jih lahko prebere spletni stre\u017enik.<\/p>\n\n<\/div>\n\n\n\n<h2 class=\"wp-block-heading\">Mo\u017enost 1: obnovi spletno mesto iz \u010diste varnostne kopije<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">\u010ce si prizadeti paket aktiviral, je priporo\u010dena pot obnova datotek in podatkovne baze iz kopije, ki je nastala <strong>pred 15. oktobrom 2026 ob 22.02 po slovenskem \u010dasu<\/strong>. To je isti trenutek kot 15. oktober ob 20.02 UTC oziroma 16.02 EDT in 16. oktober ob 1.32 IST. Kopija mora torej izvirati iz \u010dasa pred za\u010detkom incidenta.<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n\n<li><strong>Obnovi datoteke spletnega mesta in podatkovno bazo<\/strong> iz \u010diste kopije pred za\u010detkom prizadetega obdobja.<\/li>\n\n\n<li><strong>Opravi varnostni pregled<\/strong> z uveljavljenim orodjem, kot sta <a href=\"https:\/\/wordpress.org\/plugins\/wordfence\/\">Wordfence<\/a> ali <a href=\"https:\/\/wordpress.org\/plugins\/sucuri-scanner\/\">Sucuri<\/a>.<\/li>\n\n\n<li><strong>Zamenjaj vsa gesla in druge poverilnice.<\/strong> Predpostavi, da je napadalec lahko prebral skrivnosti na spletnem mestu. Spodnji kontrolni seznam zajema tudi dostop do podatkovne baze in klju\u010de API.<\/li>\n\n\n<li><strong>Namesti \u010disto razli\u010dico Rank Math PRO 3.0.124<\/strong>, ki jo prenese\u0161 iz ra\u010duna Rank Math.<\/li>\n\n<\/ol>\n\n\n\n<p class=\"wp-block-paragraph\">\u010ce ne ve\u0161, kako varno obnoviti kopijo, prosi ponudnika gostovanja za pomo\u010d. Tudi po obnovi zamenjaj poverilnice in opravi kon\u010dno preverjanje; stare datoteke same po sebi ne prekli\u010dejo podatkov za dostop, ki jih je napadalec morda \u017ee pridobil.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Mo\u017enost 2: ro\u010dno o\u010disti spletno mesto v pravilnem vrstnem redu<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">\u010ce \u010diste kopije nima\u0161 ali je ne more\u0161 obnoviti, mora\u0161 odstraniti zlonamerno kodo in preveriti druge posege napadalca. Vrstni red je bistven: najprej ustavi mehanizem, ki ob obiskih znova ustvarja stranske vhode, \u0161ele nato odstranjuj njegove preostanke. \u010ce nisi doma\u010d pri delu z datotekami, podatkovno bazo in stre\u017eni\u0161kimi nastavitvami, postopek prepusti ponudniku gostovanja ali varnostnemu strokovnjaku.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">1. Ustavi mehanizem, ki znova ustvarja zlonamerne datoteke<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Pred nadaljnjim \u010di\u0161\u010denjem opravi vse tri spodnje ukrepe. Sam izklop vti\u010dnika ne zado\u0161\u010da, prav tako ne zgolj brisanje ene sumljive datoteke.<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n\n<li><strong>Izbri\u0161i celotno mapo dodatka Rank Math PRO.<\/strong> Z upravljalnikom datotek pri gostovanju ali prek FTP poi\u0161\u010di in odstrani mapo <code>rank-math-pro<\/code>. Ne ustavi se pri deaktivaciji.<\/li>\n\n\n<li><strong>Odstrani zlonamerne vnose iz podatkovne baze.<\/strong> V orodju, kot je phpMyAdmin, odpri tabelo <code>wp_options<\/code> in poi\u0161\u010di vrstice, kjer ima <code>option_name<\/code> vrednost <code>_uf6qdn2hmm<\/code>, <code>t8krdk990phb<\/code> ali <code>_np5pvf754c<\/code>. Izbri\u0161i vse najdene vnose s temi imeni; \u010de uporablja\u0161 drugo predpono tabel, odpri ustrezno tabelo <code>options<\/code>.<\/li>\n\n\n<li><strong>Blokiraj odhodne povezave do <code>rank1cdn.com<\/code>, \u010de okolje to omogo\u010da.<\/strong> Blokado uredi pri ponudniku gostovanja ali na po\u017earnem zidu.<\/li>\n\n<\/ol>\n\n\n\n<h3 class=\"wp-block-heading\">2. Poi\u0161\u010di preostale posege in znake kompromitacije<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Napadalec lahko za seboj pusti datoteke, ra\u010dune in spremembe na ravni stre\u017enika. Spodnji seznam kazalnikov kompromitacije oziroma IOC ti pomaga usmeriti pregled, vendar ne nadomesti pregleda celotnega okolja. Preveri vsako od navedenih podro\u010dij.<\/p>\n\n\n\n<h4 class=\"wp-block-heading\">Skriti stranski vhodi v datotekah PHP<\/h4>\n\n\n\n<p class=\"wp-block-paragraph\">Preglej imenik <code>wp-content\/mu-plugins\/<\/code>, mape drugih vti\u010dnikov in mape <code>inc\/<\/code>, <code>includes\/<\/code> ter <code>lib\/<\/code> pri temah, ki niso privzete teme WordPressa. Preveri tudi mapo <code>includes\/<\/code> vti\u010dnika Rank Math. V teh lokacijah i\u0161\u010di sumljive datoteke PHP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Posebej preveri kodo, ki zdru\u017euje <code>base64_decode<\/code> z zankami XOR, torej z bitno operacijo izklju\u010dujo\u010di ALI. Drugi kazalniki so klju\u010d <code>xmmqhn<\/code>, klici <code>proc_open<\/code> in koda za komunikacijo prek vti\u010dnic PHP-FPM, upravljalnika procesov PHP. Pri iskanju in presoji datotek ti lahko pomagata varnostni vti\u010dnik ali ponudnik gostovanja.<\/p>\n\n\n\n<h4 class=\"wp-block-heading\">Neznani skrbni\u0161ki ra\u010duni<\/h4>\n\n\n\n<p class=\"wp-block-paragraph\">Preglej vse uporabnike s skrbni\u0161kimi pravicami in preveri, ali pozna\u0161 njihov namen. Pozornost nameni uporabni\u0161kim imenom s predpono <code>wpsupport_<\/code> in naklju\u010dnimi znaki ter e-po\u0161tnim naslovom, ki se kon\u010dajo z <code>@wp-mail[.]net<\/code>. Odstrani ra\u010dune, za katere potrdi\u0161, da so zlonamerni ali nepoobla\u0161\u010deni.<\/p>\n\n\n\n<h4 class=\"wp-block-heading\">La\u017ena datoteka WordPress core<\/h4>\n\n\n\n<p class=\"wp-block-paragraph\">Datoteka <code>wp-includes\/class-wp-cache-util.php<\/code> <strong>ne spada med legitimne datoteke WordPress core<\/strong>. \u010ce jo najde\u0161, jo odstrani in z ukazom <code>wp core verify-checksums<\/code> preveri kontrolne vsote. Nato znova namesti datoteke WordPress core iz uradnega vira, da odpravi\u0161 tudi morebitne druge spremembe v njih.<\/p>\n\n\n\n<h4 class=\"wp-block-heading\">Pravila v .htaccess in datoteke .cache<\/h4>\n\n\n\n<p class=\"wp-block-paragraph\">Preglej <code>.htaccess<\/code> v korenskem imeniku spletnega mesta in v podimenikih. I\u0161\u010di pravila, ki dovolijo, da stre\u017enik datoteke s kon\u010dnico <code>.cache<\/code> izvaja kot PHP. Na stre\u017eniku poi\u0161\u010di tudi datoteke <code>.cache<\/code>, ki vsebujejo kodo PHP, in razi\u0161\u010di sumljive zadetke.<\/p>\n\n\n\n<h4 class=\"wp-block-heading\">Sistemska opravila cron in dogodki WordPressa<\/h4>\n\n\n\n<p class=\"wp-block-paragraph\">V sistemskem razporejevalniku cron preveri opravila uporabnika, pod katerim te\u010de spletni stre\u017enik. I\u0161\u010di predvsem vnose z oznako <code>#ms6v46<\/code>. Lo\u010deno preglej \u0161e na\u010drtovane dogodke WordPressa z ukazom <code>wp cron event list<\/code> ter razi\u0161\u010di in odstrani zlonamerna opravila.<\/p>\n\n\n\n<h4 class=\"wp-block-heading\">Drugi vti\u010dniki, teme in nalo\u017eene datoteke<\/h4>\n\n\n\n<ul class=\"wp-block-list\">\n\n<li>Znova namesti vti\u010dnike in teme iz njihovih uradnih virov. Kjer lahko, obstoje\u010de datoteke primerjaj s \u010distimi kopijami.<\/li>\n\n\n<li>V imeniku <code>uploads\/<\/code> poi\u0161\u010di datoteke PHP, saj praviloma ne sodijo tja.<\/li>\n\n\n<li>Preden izbri\u0161e\u0161 nepri\u010dakovano ali spremenjeno datoteko, preveri njen namen in vsebino.<\/li>\n\n<\/ul>\n\n\n\n<h4 class=\"wp-block-heading\">Spremembe zunaj imenika spletnega mesta<\/h4>\n\n\n\n<p class=\"wp-block-paragraph\">Pregled naj se ne kon\u010da pri WordPressu, saj je napadalec lahko posegel tudi drugam. \u010ce na deljenem gostovanju nima\u0161 dostopa do spodnjih podro\u010dij, zahtevaj pregled pri ponudniku.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n\n<li>Preveri datoteke <code>authorized_keys<\/code>, ki dolo\u010dajo dovoljene klju\u010de za dostop SSH.<\/li>\n\n\n<li>Preglej opravila cron drugih sistemskih uporabnikov.<\/li>\n\n\n<li>Preveri procese, ki trenutno te\u010dejo.<\/li>\n\n\n<li>Preglej lokacije zunaj imenika spletnega mesta, kamor lahko pi\u0161e uporabnik spletnega stre\u017enika.<\/li>\n\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Ukazi za hiter tehni\u010dni pregled<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Z WP-CLI, orodjem za upravljanje WordPressa iz ukazne vrstice, lahko hitro preveri\u0161 razli\u010dico, sumljive nastavitve, skrbnike in na\u010drtovane dogodke. Naslednji ukazi slu\u017eijo pregledu, ne \u010di\u0161\u010denju. Uporabi jih v okviru zgornjega postopka; ne presko\u010di koraka, ki ustavi ponovno ustvarjanje zlonamernih datotek.<\/p>\n\n\n\n<div class=\"wp-block-kevinbatdorf-code-block-pro\" data-code-block-pro-font-family=\"Code-Pro-JetBrains-Mono\" style=\"font-size:.875rem;font-family:Code-Pro-JetBrains-Mono,ui-monospace,SFMono-Regular,Menlo,Monaco,Consolas,monospace;line-height:1.25rem;--cbp-tab-width:2;tab-size:var(--cbp-tab-width, 2)\"><span style=\"display:block;padding:16px 0 0 16px;margin-bottom:-1px;width:100%;text-align:left;background-color:#24292e\"><svg xmlns=\"http:\/\/www.w3.org\/2000\/svg\" width=\"54\" height=\"14\" viewBox=\"0 0 54 14\"><g fill=\"none\" fill-rule=\"evenodd\" transform=\"translate(1 1)\"><circle cx=\"6\" cy=\"6\" r=\"6\" fill=\"#FF5F56\" stroke=\"#E0443E\" stroke-width=\".5\"><\/circle><circle cx=\"26\" cy=\"6\" r=\"6\" fill=\"#FFBD2E\" stroke=\"#DEA123\" stroke-width=\".5\"><\/circle><circle cx=\"46\" cy=\"6\" r=\"6\" fill=\"#27C93F\" stroke=\"#1AAB29\" stroke-width=\".5\"><\/circle><\/g><\/svg><\/span><span role=\"button\" tabindex=\"0\" style=\"color:#e1e4e8;display:none\" aria-label=\"Copy\" class=\"code-block-pro-copy-button\"><pre class=\"code-block-pro-copy-button-pre\" aria-hidden=\"true\"><textarea class=\"code-block-pro-copy-button-textarea\" tabindex=\"-1\" aria-hidden=\"true\" readonly># Razli\u010dica dodatka; po odstranitvi vti\u010dnika ta ukaz ne bo ve\u010d na\u0161el.\nwp plugin get seo-by-rank-math-pro --field=version\n\n# Znana imena zlonamernih nastavitev v podatkovni bazi.\nwp option get _uf6qdn2hmm\nwp option get t8krdk990phb\nwp option get _np5pvf754c\n\n# Skrbni\u0161ki ra\u010duni in \u010das njihovega nastanka.\nwp user list --role=administrator --fields=ID,user_login,user_email,user_registered\n\n# Kontrolne vsote datotek WordPress core in dogodki WordPressa.\nwp core verify-checksums\nwp cron event list\n\n# Znana la\u017ena datoteka core in klju\u010d v datotekah wp-content.\nls -la wp-includes\/class-wp-cache-util.php\ngrep -RIn -- 'xmmqhn' wp-content\/\n\n# Zahteva ustrezne pravice; www-data zamenjaj z dejanskim uporabnikom stre\u017enika.\ncrontab -l -u www-data | grep -- 'ms6v46'\n<\/textarea><\/pre><svg xmlns=\"http:\/\/www.w3.org\/2000\/svg\" style=\"width:24px;height:24px\" fill=\"none\" viewBox=\"0 0 24 24\" stroke=\"currentColor\" stroke-width=\"2\"><path class=\"with-check\" stroke-linecap=\"round\" stroke-linejoin=\"round\" d=\"M9 5H7a2 2 0 00-2 2v12a2 2 0 002 2h10a2 2 0 002-2V7a2 2 0 00-2-2h-2M9 5a2 2 0 002 2h2a2 2 0 002-2M9 5a2 2 0 012-2h2a2 2 0 012 2m-6 9l2 2 4-4\"><\/path><path class=\"without-check\" stroke-linecap=\"round\" stroke-linejoin=\"round\" d=\"M9 5H7a2 2 0 00-2 2v12a2 2 0 002 2h10a2 2 0 002-2V7a2 2 0 00-2-2h-2M9 5a2 2 0 002 2h2a2 2 0 002-2M9 5a2 2 0 012-2h2a2 2 0 012 2\"><\/path><\/svg><\/span><pre class=\"shiki github-dark\" style=\"background-color:#24292e;color:#e1e4e8\" tabindex=\"0\"><code><span class=\"line\"><span style=\"color:#6A737D\"># Razli\u010dica dodatka; po odstranitvi vti\u010dnika ta ukaz ne bo ve\u010d na\u0161el.<\/span><\/span>\n<span class=\"line\"><span style=\"color:#B392F0\">wp<\/span><span style=\"color:#9ECBFF\"> plugin<\/span><span style=\"color:#9ECBFF\"> get<\/span><span style=\"color:#9ECBFF\"> seo-by-rank-math-pro<\/span><span style=\"color:#79B8FF\"> --field=version<\/span><\/span>\n<span class=\"line\"><\/span>\n<span class=\"line\"><span style=\"color:#6A737D\"># Znana imena zlonamernih nastavitev v podatkovni bazi.<\/span><\/span>\n<span class=\"line\"><span style=\"color:#B392F0\">wp<\/span><span style=\"color:#9ECBFF\"> option<\/span><span style=\"color:#9ECBFF\"> get<\/span><span style=\"color:#9ECBFF\"> _uf6qdn2hmm<\/span><\/span>\n<span class=\"line\"><span style=\"color:#B392F0\">wp<\/span><span style=\"color:#9ECBFF\"> option<\/span><span style=\"color:#9ECBFF\"> get<\/span><span style=\"color:#9ECBFF\"> t8krdk990phb<\/span><\/span>\n<span class=\"line\"><span style=\"color:#B392F0\">wp<\/span><span style=\"color:#9ECBFF\"> option<\/span><span style=\"color:#9ECBFF\"> get<\/span><span style=\"color:#9ECBFF\"> _np5pvf754c<\/span><\/span>\n<span class=\"line\"><\/span>\n<span class=\"line\"><span style=\"color:#6A737D\"># Skrbni\u0161ki ra\u010duni in \u010das njihovega nastanka.<\/span><\/span>\n<span class=\"line\"><span style=\"color:#B392F0\">wp<\/span><span style=\"color:#9ECBFF\"> user<\/span><span style=\"color:#9ECBFF\"> list<\/span><span style=\"color:#79B8FF\"> --role=administrator<\/span><span style=\"color:#79B8FF\"> --fields=ID,user_login,user_email,user_registered<\/span><\/span>\n<span class=\"line\"><\/span>\n<span class=\"line\"><span style=\"color:#6A737D\"># Kontrolne vsote datotek WordPress core in dogodki WordPressa.<\/span><\/span>\n<span class=\"line\"><span style=\"color:#B392F0\">wp<\/span><span style=\"color:#9ECBFF\"> core<\/span><span style=\"color:#9ECBFF\"> verify-checksums<\/span><\/span>\n<span class=\"line\"><span style=\"color:#B392F0\">wp<\/span><span style=\"color:#9ECBFF\"> cron<\/span><span style=\"color:#9ECBFF\"> event<\/span><span style=\"color:#9ECBFF\"> list<\/span><\/span>\n<span class=\"line\"><\/span>\n<span class=\"line\"><span style=\"color:#6A737D\"># Znana la\u017ena datoteka core in klju\u010d v datotekah wp-content.<\/span><\/span>\n<span class=\"line\"><span style=\"color:#B392F0\">ls<\/span><span style=\"color:#79B8FF\"> -la<\/span><span style=\"color:#9ECBFF\"> wp-includes\/class-wp-cache-util.php<\/span><\/span>\n<span class=\"line\"><span style=\"color:#B392F0\">grep<\/span><span style=\"color:#79B8FF\"> -RIn<\/span><span style=\"color:#79B8FF\"> --<\/span><span style=\"color:#9ECBFF\"> 'xmmqhn'<\/span><span style=\"color:#9ECBFF\"> wp-content\/<\/span><\/span>\n<span class=\"line\"><\/span>\n<span class=\"line\"><span style=\"color:#6A737D\"># Zahteva ustrezne pravice; www-data zamenjaj z dejanskim uporabnikom stre\u017enika.<\/span><\/span>\n<span class=\"line\"><span style=\"color:#B392F0\">crontab<\/span><span style=\"color:#79B8FF\"> -l<\/span><span style=\"color:#79B8FF\"> -u<\/span><span style=\"color:#9ECBFF\"> www-data<\/span><span style=\"color:#F97583\"> |<\/span><span style=\"color:#B392F0\"> grep<\/span><span style=\"color:#79B8FF\"> --<\/span><span style=\"color:#9ECBFF\"> 'ms6v46'<\/span><\/span><\/code><\/pre><\/div>\n\n\n\n<p class=\"wp-block-paragraph\">Odsotnost posameznega kazalnika ni nadomestilo za celoten pregled. Preveriti mora\u0161 tudi <code>.htaccess<\/code>, datoteke <code>.cache<\/code>, druge teme in vti\u010dnike ter spremembe zunaj namestitve WordPressa.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">3. Zamenjaj gesla, klju\u010de in druge poverilnice<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Po odstranitvi zlonamerne kode predpostavi, da je napadalec lahko prebral vse skrivnosti, do katerih je imelo kompromitirano spletno mesto dostop. Ta korak velja <strong>tudi po obnovi iz varnostne kopije<\/strong>. Poverilnice nadomesti z novimi, varnimi vrednostmi.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n\n<li><strong>Vsa relevantna gesla:<\/strong> zamenjaj gesla ra\u010dunov WordPressa in druge podatke za dostop, ki jih je spletno mesto lahko prebralo.<\/li>\n\n\n<li><strong>Dostop do podatkovne baze:<\/strong> zamenjaj uporabni\u0161ko ime in geslo ter ustrezno popravi <code>wp-config.php<\/code>.<\/li>\n\n\n<li><strong>Varnostni klju\u010di in soli WordPressa:<\/strong> ustvari nove vrednosti za klju\u010de in soli v <code>wp-config.php<\/code>.<\/li>\n\n\n<li><strong>Klju\u010di API in dostop do storitev:<\/strong> zamenjaj klju\u010de pla\u010dilnih prehodov, prijavne podatke SMTP za po\u0161iljanje po\u0161te, druge klju\u010de API in skrivnosti v nastavitvah ali konfiguracijskih datotekah.<\/li>\n\n\n<li><strong>Gostovanje in stre\u017enik:<\/strong> zamenjaj gesla oziroma poverilnice za nadzorno plo\u0161\u010do gostovanja, FTP\/SFTP in SSH. Preglej tudi skrivnosti v okoljskih spremenljivkah.<\/li>\n\n\n<li><strong>Dvofaktorska avtentikacija:<\/strong> preveri nastavitve skrbni\u0161kih ra\u010dunov in jih po potrebi ponastavi.<\/li>\n\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Nove podatke vnesi povsod, kjer jih spletno mesto in povezane storitve potrebujejo. \u010ce ne ve\u0161, katere skrivnosti je okolje hranilo ali razkrivalo, naj njihov pregled opravi ponudnik gostovanja ali varnostni strokovnjak.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">4. Preveri rezultat \u010di\u0161\u010denja<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Ko kon\u010da\u0161 \u010di\u0161\u010denje in zamenja\u0161 poverilnice, preveri datoteke ter spremljaj delovanje spletnega mesta. Ne zana\u0161aj se samo na to, da se nadzorna plo\u0161\u010da spet normalno odpre.<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n\n<li>Opravi varnostni pregled z uveljavljenim orodjem, kot sta Wordfence ali Sucuri.<\/li>\n\n\n<li>Preveri kontrolne vsote datotek WordPress core z ukazom <code>wp core verify-checksums<\/code>.<\/li>\n\n\n<li>Preveri datoteke name\u0161\u010denih vti\u010dnikov z ukazom <code>wp plugin verify-checksums --all<\/code>. Preverjanje ni na voljo za vsak vti\u010dnik, zlasti ne za vse pla\u010dljive vti\u010dnike. Kadar kontrolnih vsot ni, datoteke primerjaj s \u010disto kopijo iz uradnega vira.<\/li>\n\n\n<li>V naslednjih dneh spremljaj odhodne povezave in drugo sumljivo dejavnost.<\/li>\n\n\n<li>Preverjaj, ali se datoteke, ki si jih odstranil, znova pojavijo.<\/li>\n\n<\/ol>\n\n\n\n<div class=\"wp-block-group callout callout-warning is-style-warning is-layout-flow wp-block-group-is-layout-flow\" style=\"border-width:1px;border-radius:8px;padding-top:1rem;padding-right:1.5rem;padding-bottom:1rem;padding-left:1.5rem\">\n\n<h4 class=\"wp-block-heading callout-title\">\u010ce se datoteke vrnejo, \u010di\u0161\u010denje \u0161e ni kon\u010dano<\/h4>\n\n\n<p class=\"wp-block-paragraph\">Ponoven pojav sumljivih datotek ali nenavadna dejavnost lahko pomenita, da je del zlonamerne kode ostal v okolju. Vrni se na drugi korak ro\u010dnega \u010di\u0161\u010denja in vklju\u010di ponudnika gostovanja ali varnostnega strokovnjaka.<\/p>\n\n<\/div>\n\n\n\n<h2 class=\"wp-block-heading\">\u010cisto razli\u010dico prenesi neposredno iz ra\u010duna Rank Math<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Ko opravi\u0161 ustrezni postopek sanacije, namesti <strong>Rank Math PRO 3.0.124<\/strong>. V brskalniku neposredno odpri <code>rankmath.com<\/code>, se prijavi v ra\u010dun in v razdelku za prenose poi\u0161\u010di posodobljeni paket. \u010ce prijava ne uspe, bo morda treba ponastaviti geslo ra\u010duna.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Rank Math ne po\u0161ilja prijavnih povezav ali povezav za prenos po e-po\u0161ti. Nepri\u010dakovano sporo\u010dilo, ki zahteva klik na povezavo za ponastavitev gesla ali prenos vti\u010dnika, zato obravnavaj kot sumljivo. Do ra\u010duna vedno dostopaj tako, da naslov odpre\u0161 neposredno.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Neuradna spleti\u0161\u010da za distribucijo vti\u010dnikov, tudi tista, ki ponujajo kopije pod oznako GPL, lahko \u0161e vedno stre\u017eejo razli\u010dico 3.0.123. Paket zato pridobi iz ra\u010duna pri ponudniku, ne iz neuradnega arhiva.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Kaj spremeni v postopkih vzdr\u017eevanja<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Tudi zaupanja vreden komercialni ponudnik je lahko \u010dlen napada na dobavno verigo. Samodejne posodobitve so zato pri pla\u010dljivih vti\u010dnikih dvorezen me\u010d: hitro dostavijo popravke, vendar lahko po isti poti prispe tudi kompromitiran paket. Ta incident je razlog za pregled za\u0161\u010ditnih mehanizmov, ne za slepo zaupanje eni sami nastavitvi.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n\n<li><strong>Hrani varnostne kopije zunaj stre\u017enika spletnega mesta<\/strong> in ohrani dovolj dolgo zgodovino, da lahko pose\u017ee\u0161 po kopiji pred incidentom.<\/li>\n\n\n<li><strong>Preglej politiko samodejnih posodobitev pla\u010dljivih vti\u010dnikov<\/strong> skupaj s postopkom obnove in varnostnega pregleda.<\/li>\n\n\n<li><strong>Spremljaj in po potrebi omeji odhodne povezave spletnega stre\u017enika<\/strong>, da la\u017eje zazna\u0161 komunikacijo z zlonamernimi domenami.<\/li>\n\n\n<li><strong>Preverjaj kontrolne vsote datotek<\/strong>, kjer so na voljo; drugje uporabi \u010diste pakete iz uradnih virov.<\/li>\n\n\n<li><strong>Pazi na la\u017ena varnostna sporo\u010dila<\/strong> in ne odpiraj nepri\u010dakovanih prijavnih ali prenosnih povezav, ki se predstavljajo kot sporo\u010dila Rank Math.<\/li>\n\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Najprej razjasni \u010das prenosa in aktivacijo prizadetega paketa. \u010ce si ga aktiviral, izberi obnovo ali celotno ro\u010dno sanacijo in ne zaklju\u010di zgolj s posodobitvijo. Kadar potrebuje\u0161 pomo\u010d pri izbiri postopka, odpri zahtevek pri <a href=\"https:\/\/rankmath.com\/support\/\">podpori Rank Math<\/a> ter navedi razli\u010dico dodatka in korake, ki si jih \u017ee opravil.<\/p>\n\n\n<div class=\"references-section\">\n                <h2>Reference \/ Viri<\/h2>\n                <ul class=\"references-list\"><li><a href=\"https:\/\/rankmath.com\/kb\/pro-3-0-123-security-incident\/\" target=\"_blank\" rel=\"noopener noreferrer\">Rank Math PRO 3.0.123 Security Incident: How to Secure Your Website<\/a><\/li><li><a href=\"https:\/\/www.wordfence.com\/blog\/2026\/10\/rank-math-seo-pro-3-0-123-malware\/\" target=\"_blank\" rel=\"noopener noreferrer\">Rank Math SEO PRO 3.0.123 supply chain attack: malware in official update packages<\/a><\/li><li><a href=\"https:\/\/www.wordfence.com\/threat-intel\/vulnerabilities\/id\/81cd7a2c-ad0c-4dbc-b5dc-07ec866d5c1f\" target=\"_blank\" rel=\"noopener noreferrer\">Rank Math SEO PRO 3.0.123 &#8211; Unauthenticated Embedded Malicious Code<\/a><\/li><\/ul>\n            <\/div>","protected":false},"excerpt":{"rendered":"<p>Pri tem incidentu ni \u0161lo za obi\u010dajno ranljivost: del uradnih paketov Rank Math PRO 3.0.123 je vseboval zlonamerno kodo. Preveri, ali spada\u0161 v prizadeto skupino in zakaj sama posodobitev na 3.0.124 ne zado\u0161\u010da.<\/p>\n","protected":false},"author":45,"featured_media":289,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[9],"tags":[158,157,10,8,159],"class_list":["post-290","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-varnost","tag-napad-na-dobavno-verigo","tag-rank-math-pro","tag-wordpress","tag-wp-cli","tag-zlonamerna-koda"],"_links":{"self":[{"href":"https:\/\/helloblog.io\/sl\/wp-json\/wp\/v2\/posts\/290","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/helloblog.io\/sl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/helloblog.io\/sl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/helloblog.io\/sl\/wp-json\/wp\/v2\/users\/45"}],"replies":[{"embeddable":true,"href":"https:\/\/helloblog.io\/sl\/wp-json\/wp\/v2\/comments?post=290"}],"version-history":[{"count":0,"href":"https:\/\/helloblog.io\/sl\/wp-json\/wp\/v2\/posts\/290\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/helloblog.io\/sl\/wp-json\/wp\/v2\/media\/289"}],"wp:attachment":[{"href":"https:\/\/helloblog.io\/sl\/wp-json\/wp\/v2\/media?parent=290"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/helloblog.io\/sl\/wp-json\/wp\/v2\/categories?post=290"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/helloblog.io\/sl\/wp-json\/wp\/v2\/tags?post=290"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}