Il malware di Rank Math SEO PRO richiede il ripristino completo del sito
Il malware di Rank Math SEO PRO è stato distribuito in alcuni pacchetti della versione 3.0.123 ottenuti tra il 15 ottobre 2026 alle 20:02 UTC e il 16 ottobre 2026 alle 07:12 UTC. Rank Math afferma che i siti web sui quali è stata attivata una copia interessata devono essere considerati compromessi. L'incidente è un supply-chain compromise, ossia un caso in cui codice dannoso è entrato in un software distribuito attraverso il canale di un prodotto considerato affidabile. Rank Math ha rimosso i file interessati e pubblicato la versione 3.0.124 come sostituzione pulita, ma installare questa release non costituisce un ripristino completo per un sito già colpito.
Wordfence Intelligence monitora il problema come CVE-2026-111862 e gli assegna un punteggio Critical di 9,8 secondo il Common Vulnerability Scoring System, o CVSS, una scala standard per valutare la gravità delle vulnerabilità di sicurezza. Il software interessato è Rank Math SEO PRO, identificato dallo slug seo-by-rank-math-pro, e il ricercatore è indicato come sconosciuto. Secondo Rank Math, il codice dannoso poteva creare un accesso persistente, contattare rank1cdn[.]com e ricostruire una backdoor nascosta, cioè un metodo occulto per riprendere il controllo di un sito, quando qualcuno visitava il sito web. Poteva inoltre esporre password di WordPress, credenziali del database, API key e altri dati segreti accessibili al web server.
La sola presenza della versione 3.0.123 non dimostra un'infezione. Rank Math limita il gruppo interessato ai pacchetti scaricati o installati tramite un aggiornamento durante l'intervallo indicato. Un sito sul quale è stato attivato uno di questi pacchetti richiede un ripristino completo. Se il plugin è stato installato ma mai attivato, Rank Math consiglia di eliminarne i file, installare la versione 3.0.124 dall'account del cliente ed eseguire una scansione di sicurezza. Se il pacchetto è stato soltanto scaricato e non è mai stato installato o attivato, Rank Math afferma che questo incidente, da solo, non indica che il sito web sia stato compromesso. L'azienda dichiara di disporre di registri che identificano i download interessati; pertanto, chiunque abbia ricevuto una notifica deve seguire le istruzioni di ripristino anche se il sito ora utilizza un'altra versione.
Il percorso di ripristino preferibile consiste nel ripristinare sia il sito web sia il relativo database da un backup pulito creato prima del 15 ottobre 2026 alle 20:02 UTC. Rank Math raccomanda quindi di eseguire una scansione del sito ripristinato, sostituire tutte le credenziali sensibili alle quali il sito web poteva accedere e installare la versione 3.0.124 direttamente dall'account Rank Math. I proprietari dei siti devono sostituire le password di WordPress e del database, le WordPress security keys e i salt, le credenziali dei servizi di pagamento ed email, le API key, gli accessi al pannello di controllo dell'hosting e le credenziali FTP, SFTP o SSH. Devono inoltre essere controllate le impostazioni di two-factor authentication degli amministratori. La two-factor authentication aggiunge una seconda verifica dell'identità oltre alla password.
Quando non è disponibile un backup adeguato, Rank Math raccomanda una pulizia manuale da parte di un professionista della sicurezza esperto o dell'hosting provider, se il proprietario non si sente sicuro nel modificare i file del sito web, le voci del database e le impostazioni del server. Prima di rimuovere altro materiale sospetto, gli amministratori devono eliminare l'intera directory del plugin rank-math-pro anziché limitarsi a disattivarlo. Devono quindi rimuovere le voci di wp_options denominate _uf6qdn2hmm, t8krdk990phb e _np5pvf754c. La tabella wp_options conserva le impostazioni del sito WordPress. Anche l'accesso in uscita a rank1cdn[.]com deve essere bloccato quando l'hosting provider o il firewall supporta questa operazione. L'ordine è importante perché, secondo Rank Math, il meccanismo dannoso può ricreare la propria backdoor nascosta durante la visita di una pagina.
Rank Math elenca diversi altri indicatori che richiedono verifiche. Tra questi figurano nomi di amministratori sconosciuti che iniziano con wpsupport_, account che utilizzano indirizzi con il dominio @wp-mail[.]net e un file nel percorso wp-includes/class-wp-cache-util.php, che secondo Rank Math non è un file legittimo del WordPress core. Gli amministratori devono cercare file PHP inattesi in wp-content/mu-plugins/, nelle directory di altri plugin, nelle directory inc/, includes/ e lib/ dei temi non predefiniti, nella directory includes/ di Rank Math e nella directory uploads di WordPress. PHP è il linguaggio di programmazione utilizzato da WordPress. Il codice sospetto può contenere base64_decode con loop XOR, la key xmmqhn, proc_open o codice relativo ai socket PHP-FPM.
I controlli del server devono includere i file .htaccess nella root e nelle sottodirectory contenenti regole che consentono ai file .cache di essere eseguiti come PHP, nonché i file .cache che contengono codice PHP. Rank Math segnala inoltre task cron di sistema contenenti il marker #ms6v46. cron è un servizio che esegue automaticamente i comandi secondo una pianificazione. Gli amministratori devono controllare gli eventi pianificati di WordPress, i task pianificati appartenenti ad altri utenti di sistema, i processi in esecuzione, le SSH authorized keys e le posizioni esterne alla directory del sito web nelle quali il web server è autorizzato a scrivere. L'assenza di tutti questi segnali non dimostra che il sito sia pulito, perché l'attaccante potrebbe aver creato altri file, account, task o modifiche a livello di server.
Dopo la pulizia, Rank Math raccomanda una scansione di sicurezza completa e il monitoraggio continuo di comportamenti insoliti o della ricomparsa di file eliminati. I file del WordPress core possono essere controllati con il comando wp core verify-checksums, mentre i plugin installati possono essere verificati con wp plugin verify-checksums --all. I checksums sono impronte digitali utilizzate per identificare i file modificati. Non sono disponibili per tutti i plugin premium, quindi tali file devono essere confrontati con una copia pulita ottenuta direttamente dallo sviluppatore. Devono inoltre essere monitorate le connessioni in uscita e la ricomparsa di file sospetti deve essere considerata una prova del fatto che il ripristino non è ancora completo.
Il plugin pulito deve essere ottenuto accedendo direttamente a rankmath.com ed effettuando il login, anziché seguire un link contenuto in un messaggio. Rank Math afferma che non invierà tramite email link per il login o il download; pertanto, i messaggi inattesi che li contengono devono essere considerati sospetti. Rank Math ha pubblicato il proprio avviso di sicurezza il 16 ottobre 2026 e indica tale avviso come la fonte autorevole per gli aggiornamenti sull'incidente. Per i lettori che stanno valutando dove ospitare il proprio sito WordPress, AEU Hosting è un servizio di managed WordPress hosting protetto end-to-end. Indipendentemente dalla configurazione di hosting, l'attivazione di un pacchetto interessato richiede il ripristino o un'accurata pulizia manuale, la sostituzione completa delle credenziali e controlli sia sul sito web sia sul relativo server.