Unele pachete Rank Math PRO 3.0.123 distribuite prin infrastructura oficială a furnizorului au conținut malware care putea compromite website-ul la activarea pluginului. Compania a retras fișierele afectate și a publicat versiunea curată 3.0.124. Incidentul privește descărcările și actualizările efectuate într-un interval precis, între 15 octombrie 2026, ora 20:02 UTC, și 16 octombrie, ora 07:12 UTC.
Pentru România, intervalul corespunde perioadei dintre 15 octombrie, ora 23:02, și 16 octombrie, ora 10:12. Delimitarea contează pentru identificarea instalărilor care trebuie investigate: numărul versiunii, fără momentul obținerii pachetului și fără verificarea activării, nu descrie singur situația unui website.
Potrivit Rank Math, site-urile pe care a fost instalat și activat un pachet afectat trebuie tratate drept compromise. Răspunsul cerut include recuperarea sau curățarea instalării, verificarea accesului și schimbarea acreditărilor. Aceste intervenții intră în aria de securitate a website-ului, deoarece o extensie modificată poate introduce fișiere și mecanisme de acces în mai multe zone ale aceleiași instalări.
Incidentul privește anumite pachete PRO, cu trei situații distincte
Rank Math PRO este ediția comercială a pluginului SEO pentru WordPress. Informarea producătorului separă această distribuție de versiunea gratuită oferită prin WordPress.org. Compania precizează că ediția gratuită nu a fost afectată de malware-ul din acest incident, chiar dacă unele conturi gratuite au fost modificate în procesul de răspuns.
Prima situație descrisă de furnizor este instalarea și activarea versiunii afectate în intervalul indicat. Pentru aceste website-uri, procedura începe de la premisa compromiterii și include verificarea modificărilor făcute de atacator. Simplul fapt că site-ul se încarcă sau că panoul WordPress poate fi accesat nu înlocuiește examinarea componentelor enumerate în informare.
A doua situație privește pachetele instalate, dar care nu au fost activate. Producătorul cere ștergerea fișierelor respective, instalarea pachetului curat 3.0.124 și efectuarea unei scanări de securitate. Recomandarea diferă de cea aplicată website-urilor care au executat deja pluginul modificat.
A treia situație este descărcarea arhivei fără instalare sau activare. Potrivit companiei, acest fapt nu constituie, singur, un indiciu că website-ul a fost compromis în incident. Separarea celor trei cazuri fixează prioritatea intervenției și evită atribuirea acelorași consecințe unui fișier descărcat local și unui plugin executat pe server.
Mecanismele de persistență extind verificarea dincolo de plugin
În descrierea remedierii, Rank Math arată că malware-ul poate reface o componentă ascunsă de acces la vizitarea website-ului. Din acest motiv, dezactivarea pluginului sau eliminarea unui singur fișier suspect nu acoperă mecanismul de persistență prezentat de furnizor. Curățarea trebuie să trateze și elementele care pot recrea fișierele eliminate.
Lista producătorului include înregistrări malițioase în baza de date, fișiere PHP ascunse, conturi de administrator neautorizate și un fișier care imită o componentă a nucleului WordPress. Sunt menționate și modificări ale configurației serverului care permit executarea unor fișiere cu extensii neobișnuite pentru codul PHP.
Verificările acoperă extensiile de tip Must-Use, directoarele altor pluginuri și ale temelor, precum și zona destinată fișierelor încărcate. Compania cere și examinarea sarcinilor programate. Această arie de control rezultă din mecanismele descrise în incident, care pot păstra accesul separat de fișierul principal al extensiei SEO.
Informarea include și verificări la nivelul serverului: acces SSH, operațiuni programate ale utilizatorilor și locații în care procesul web poate scrie. Pentru clienții care folosesc hosting partajat și nu au vizibilitate asupra acestor componente, producătorul indică implicarea furnizorului de găzduire în investigație.
Copiile curate și acreditările noi sunt părți diferite ale recuperării
Varianta preferată de Rank Math pentru un website compromis este restaurarea fișierelor și a bazei de date dintr-o copie realizată înainte de începerea intervalului afectat. Data de referință este 15 octombrie, ora 20:02 UTC. După restaurare, compania cere o scanare de securitate, înlocuirea acreditărilor și instalarea ediției curate a pluginului.
În lipsa unei copii eligibile, producătorul descrie o curățare manuală care tratează mai întâi mecanismul de refacere a componentelor malițioase, apoi modificările suplimentare. Această ordine este relevantă pentru persistența identificată. Instrucțiunile prevăd verificarea instalării după intervenție și monitorizarea reapariției fișierelor ori a activității suspecte.
Lista acreditărilor care trebuie schimbate depășește parolele conturilor WordPress. Rank Math include accesul la baza de date, cheile și valorile secrete ale instalării, serviciile SMTP, cheile API și acreditările platformelor de plată care sunt accesibile website-ului. Sunt menționate și conturile de hosting, FTP, SFTP și SSH.
În cazul autentificării în doi pași, producătorul cere revizuirea protecției pentru conturile de administrator și resetarea ei unde este necesar. Schimbarea acreditărilor se aplică și website-urilor recuperate din backup, deoarece revenirea la fișiere anterioare nu înlocuiește valorile de acces care au putut fi expuse în perioada compromiterii.
Pentru verificarea integrității, informarea indică compararea componentelor WordPress cu copii oficiale și controlul fișierelor pluginurilor. Compania precizează că verificarea prin sume de control nu este disponibilă pentru toate extensiile comerciale. În asemenea cazuri, comparația se face cu pachete curate obținute din distribuția oficială.
Unele conturi gratuite trebuie reconectate
Separat de malware-ul din ediția PRO, Rank Math a eliminat conturi gratuite înregistrate între 13 și 16 octombrie, în cadrul reconfigurării sistemelor proprii. Furnizorul spune că utilizatorii afectați au primit instrucțiuni de recreare a contului. Pluginul gratuit continuă să funcționeze, iar setările SEO, metadatele și conținutul website-ului sunt păstrate.
Funcțiile dependente de conexiunea cu acel cont necesită însă reconectarea. Enumerarea include datele Google Search Console și Google Analytics afișate în Rank Math, urmărirea pozițiilor cuvintelor-cheie și instrumentele AI ale platformei. Această problemă de cont este descrisă distinct de compromiterea website-urilor care au activat pachetele PRO modificate.
