L'update channel di Rank Math PRO ha distribuito una backdoor persistente
Secondo un avviso di sicurezza di Rank Math, i pacchetti di Rank Math PRO scaricati dal sito del fornitore o distribuiti tramite il suo sistema di aggiornamento tra le 20:02 UTC del 15 ottobre e le 07:12 UTC del 16 ottobre contenevano malware. Qualsiasi sito web che abbia installato e attivato uno di quei pacchetti deve essere considerato compromesso. Il malware può ripristinare la propria backdoor nascosta, un percorso occulto per l'accesso remoto, ogni volta che qualcuno visita il sito web interessato.
Rank Math ha rimosso i download interessati e pubblicato la versione pulita 3.0.124. Tuttavia, Wordfence ha avvertito che l'installazione di questa release sostituisce soltanto il plugin, ossia un componente aggiuntivo che estende WordPress. Non rimuove file dannosi, account amministratore o scheduled tasks, cioè operazioni automatizzate, che potrebbero essere già stati creati altrove sul server. L'aggiornamento alla versione 3.0.124, pertanto, non dimostra che un sito web precedentemente interessato sia sicuro.
Il numero di versione visualizzato non consente di identificare tutti i pacchetti compromessi. Il changelog di Rank Math indica il 7 ottobre come data della versione 3.0.123, mentre la finestra di distribuzione dannosa è iniziata più di una settimana dopo. Una copia ottenuta prima delle 20:02 UTC del 15 ottobre non rientra nel periodo identificato. I siti che hanno installato e attivato la versione 3.0.123 durante tale finestra richiedono una procedura completa di ripristino dall'incidente. Se il plugin è stato installato ma mai attivato, Rank Math consiglia di eliminarlo, scaricare la versione 3.0.124 tramite l'account del cliente ed eseguire una scansione di sicurezza. Il semplice download del pacchetto, senza installarlo né attivarlo, non indica di per sé che il sito web sia stato compromesso.
Rank Math ha contattato alcuni utenti tramite email e invita i clienti che hanno dubbi a rivolgersi al proprio team di assistenza. L'incidente riguarda esclusivamente il plugin PRO a pagamento distribuito tramite rankmath.com. Il plugin gratuito Rank Math SEO su WordPress.org, che riportava più di 4 milioni di installazioni attive ed era stato aggiornato l'ultima volta il 6 ottobre, non era incluso nell'avviso.
L'avviso di Rank Math descrive diverse modifiche che il malware potrebbe aver apportato, anche se né tale avviso né la comunicazione di Wordfence forniscono un'analisi del codice o identificano l'autore dell'attacco. Tra i possibili residui vi sono file PHP contenenti backdoor collocati nelle directory di altri plugin, nelle directory dei theme e nella directory dei must-use plugin. PHP è il linguaggio di programmazione comunemente utilizzato per eseguire WordPress. Il malware potrebbe inoltre aver creato account amministratore, installato un falso file del WordPress core, modificato la configurazione .htaccess affinché i file con estensione .cache vengano eseguiti come PHP oppure aggiunto scheduled tasks e SSH keys, che possono consentire l'accesso al server senza password. Rank Math avverte che qualsiasi password, credenziale del database, application programming interface key o altro secret accessibile al sito potrebbe essere stato esposto.
Wordfence ha assegnato CVE-2026-111862 e attribuito una gravità di 9,8 su 10, indicando il ricercatore come sconosciuto. Un CVE è un identificatore pubblico standard per un problema di sicurezza. Patchstack classifica l'incidente come backdoor e afferma di non poter fornire una regola di mitigazione perché la compromissione si è verificata nei sistemi di Rank Math.
Rank Math consiglia di ripristinare sia il sito web sia il relativo database da un backup creato prima delle 20:02 UTC del 15 ottobre, quando tale backup è disponibile. I proprietari devono quindi eseguire una scansione del sito ripristinato, sostituire ogni password e credenziale e installare la versione 3.0.124 direttamente dal proprio account Rank Math. Le credenziali devono essere cambiate anche dopo un ripristino, poiché i secret disponibili sul sito compromesso potrebbero essere già stati raccolti.
In assenza di un backup pulito, l'ordine della pulizia manuale è importante perché visitare il sito può ricreare la backdoor. Per prima cosa, rimuovere l'intera directory rank-math-pro tramite il file manager dell'hosting o File Transfer Protocol (FTP); disattivare semplicemente il plugin non è sufficiente. In secondo luogo, eliminare le voci denominate _uf6qdn2hmm, t8krdk990phb e _np5pvf754c dalla tabella del database wp_options, dove WordPress memorizza le impostazioni del sito. In terzo luogo, bloccare le connessioni in uscita verso rank1cdn[.]com, ove consentito dal provider di hosting o dal firewall.
Gli amministratori devono quindi cercare file PHP in wp-content/mu-plugins/, nelle altre cartelle dei plugin, in uploads/, nella directory includes/ di Rank Math e nelle directory inc/, includes/ e lib/ dei theme non predefiniti. Gli indicatori elencati da Rank Math includono base64_decode insieme a loop XOR, la key xmmqhn, proc_open e codice per socket PHP-FPM. Occorre inoltre esaminare il file wp-includes/class-wp-cache-util.php, poiché non fa parte del WordPress core.
I controlli sugli account devono cercare nomi di amministratori che iniziano con wpsupport_ e indirizzi email che terminano con @wp-mail[.]net. I controlli a livello di server comprendono regole .htaccess che eseguono i file .cache come PHP, codice PHP all'interno di file .cache, voci crontab contrassegnate da #ms6v46, eventi pianificati di WordPress, file authorized_keys di SSH, crontab di altri utenti, processi in esecuzione e posizioni scrivibili al di fuori del sito web. Wordfence avverte che la mancata individuazione di questi indicatori non dimostra che un sito sia pulito.
Il reset delle credenziali deve includere gli account WordPress, le credenziali di accesso al database in wp-config.php, le security keys e i salts di WordPress, le credenziali dei gateway di pagamento, le credenziali email Simple Mail Transfer Protocol (SMTP), altre API keys, il pannello di controllo dell'hosting, FTP, Secure File Transfer Protocol (SFTP), l'accesso SSH e i secret memorizzati nelle variabili d'ambiente. Rank Math consiglia inoltre di abilitare la two-factor authentication per gli amministratori, che richiede un secondo controllo di accesso oltre alla password.
La verifica finale comprende un'altra scansione di sicurezza, wp core verify-checksums per i file del WordPress core e wp plugin verify-checksums --all per i plugin. Un checksum è un'impronta calcolata utilizzata per rilevare file modificati, ma i plugin premium potrebbero non disporre di record checksum pubblici. WordPress.org non li pubblica per questo plugin PRO. Il 19 ottobre, The Hacker News ha controllato il servizio plugin-checksums e non ha trovato alcun record per nessuno dei due nomi del plugin PRO, mentre era disponibile un record per l'edizione gratuita.
Il pacchetto pulito 3.0.124 deve essere installato per ultimo, accedendo direttamente a rankmath.com ed effettuando il login. Rank Math afferma che alcuni clienti potrebbero dover reimpostare la password del proprio account, senza spiegarne il motivo, e dichiara che non invierà tramite email link per il login o il download. Per i proprietari che, dopo un incidente di questo tipo, stanno riesaminando il modo in cui vengono gestiti i propri siti, AEU Hosting offre un hosting WordPress gestito e protetto end-to-end.
Rank Math, parte del gruppo svedese di hosting group.one, non ha reso noto in che modo i file dannosi siano arrivati nella propria infrastruttura di download e aggiornamento, quanti clienti li abbiano ricevuti, se fossero coinvolti aggiornamenti automatici o quali fossero gli hash dei pacchetti puliti e compromessi. I registri del dominio mostrano che rank1cdn[.]com è stato registrato alle 19:31 UTC del 14 ottobre, circa un giorno prima dell'apertura della finestra di distribuzione.
Questo è stato almeno il terzo caso, nello stesso anno, in cui un update channel gestito dal fornitore per un plugin WordPress premium ha distribuito software contenente backdoor.
Disponibile anche in: English