Обновление Rank Math SEO PRO до версии 3.0.123 в течение одиннадцати часов доставляло на сайты вредоносный код. Речь идёт об атаке на цепочку поставок (компрометация дистрибутива через инфраструктуру разработчика), а не об ошибке в логике самого плагина. Активация заражённой копии даёт злоумышленнику доступ к файлам сайта, его базе данных и учётным данным, которые хранит сервер. Затронуты владельцы сайтов на WordPress, скачавшие или установившие плагин в промежуток с 15 октября 2026 года 20:02 UTC по 16 октября 2026 года 07:12 UTC.
CVE-2026-111862 и одиннадцать часов подмены обновления
Wordfence Intelligence описывает проблему как встроенный вредоносный код, доступный без аутентификации, и оценивает её в 9.8 по шкале CVSS, то есть как критическую. Идентификатор CVE-2026-111862 относится к версии 3.0.123; исправленная сборка 3.0.124 удаляет заражённые файлы. Сведений о применении этого кода в массовых атаках за пределами указанного окна нет. Сама по себе версия 3.0.123 не доказывает взлом: Rank Math ограничивает зону риска теми, кто получил пакет в период с 15 по 16 октября 2026 года. Плагин распространяется по подписке, и загрузка идёт из личного кабинета на сайте разработчика, поэтому проверка даты установки здесь важнее номера версии.
Что делает вредоносный код на сайте
Пока заражённая копия активна, вредоносное ПО создаёт скрытый бэкдор (механизм удалённого доступа) и восстанавливает его при каждом посещении страницы. Среди последствий - кража учётных данных WordPress, доступов к базе данных, ключей API и других секретов, к которым имеет доступ веб-сервер. Злоумышленник может завести администратора с незнакомым именем, оставить запланированные задачи и изменить настройки сервера. Поэтому обновление плагина само по себе не очищает сайт: оно лишь убирает источник заражения.
Признаки компрометации
Rank Math перечисляет сетевые и файловые индикаторы. Среди них исходящие соединения на домен rank1cdn[.]com и три записи в таблице параметров WordPress, названия которых приведены в уведомлении вендора. На присутствие чужого доступа указывают учётные записи администраторов с префиксом wpsupport_ и адресами в домене wp-mail[.]net. В ядре WordPress может появиться файл, которого нет в официальной сборке, а PHP-файлы оказываются в каталоге загрузок, в папках сторонних плагинов и тем. Правила в файлах .htaccess порой разрешают выполнение файлов с расширением .cache как PHP-кода, хотя такие файлы не должны исполняться. В системном планировщике остаётся задача от имени пользователя веб-сервера с меткой, указанной в бюллетене. Отдельно проверяют расписание событий WordPress, список разрешённых SSH-ключей, запущенные процессы и каталоги вне сайта, куда веб-сервер может писать файлы.
Восстановление сайта и замена доступов
Резервная копия остаётся самым надёжным путём: Rank Math советует развернуть сайт и базу данных из копии, сделанной до 15 октября 2026 года 20:02 UTC. Перед удалением подозрительных файлов нужно убрать сам механизм восстановления. Для этого удаляют каталог плагина целиком (деактивации недостаточно), очищают три записи в таблице параметров, перечисленные вендором, и блокируют исходящие соединения на rank1cdn[.]com на стороне хостинга или межсетевого экрана. После этого осматривают остальные файлы сервера. При отсутствии подходящей копии сайт чистят вручную, силами специалиста по безопасности или провайдера хостинга.
Замена учётных данных обязательна даже при восстановлении из резервной копии. Меняют пароли WordPress, доступы к базе данных, ключи безопасности и соли, данные платёжных и почтовых сервисов, ключи API, доступы к панели хостинга и к FTP, SFTP или SSH. Дополнительно проверяют двухфакторную аутентификацию у администраторов.
Проверка после очистки
Целостность ядра WordPress проверяют командой wp core verify-checksums, файлы плагинов - командой wp plugin verify-checksums --all. Для части платных плагинов контрольных сумм нет, поэтому их файлы сравнивают с чистой копией от разработчика. Сборку 3.0.124 скачивают на сайте rankmath.com после входа в аккаунт: письма со ссылками на вход и загрузку Rank Math не рассылает, а подобные сообщения нужно расценивать как подозрительные. Если удалённые файлы появляются снова, очистка выполнена не полностью.
Окно заражения заняло одиннадцать часов, но последствия для сайтов с активной заражённой копией выходят далеко за его рамки. Обновление закрывает источник, а восстановление требует проверки файлов, учётных записей и расписания задач. Атаки на цепочку поставок в экосистеме WordPress повторяются, поэтому дата установки пакета и место его загрузки важны не меньше номера версии.
Ссылки
