Αντίγραφα του Rank Math PRO, της πληρωμένης έκδοσης του γνωστού plugin SEO για WordPress, περιείχαν κακόβουλο λογισμικό όταν κατεβάστηκαν από το rankmath.com ή παραδόθηκαν ως ενημέρωση. Σύμφωνα με την ανακοίνωση ασφαλείας της εταιρείας, το πρόβλημα αφορά το διάστημα από τις 20:02 UTC της 15ης Οκτωβρίου έως τις 07:12 UTC της 16ης Οκτωβρίου. Κάθε site που εγκατέστησε και ενεργοποίησε ένα τέτοιο αντίγραφο πρέπει να θεωρηθεί παραβιασμένο.
Rank Math PRO: ποιοι επηρεάζονται και ποιοι όχι
Ο αριθμός έκδοσης δεν αρκεί για να καταλάβετε αν είστε εκτεθειμένοι. Η έκδοση 3.0.123 έχει ημερομηνία 7 Οκτωβρίου, δηλαδή πριν ανοίξει το παράθυρο του περιστατικού. Ένα αντίγραφο που αποκτήθηκε πριν τις 20:02 UTC της 15ης Οκτωβρίου είναι εκτός. Μετράει μόνο το πότε κατεβάστηκε ή ενημερώθηκε το plugin.
Η Rank Math ξεχωρίζει τρεις περιπτώσεις:
- Αν το εγκαταστήσατε και το ενεργοποιήσατε μέσα στο παράθυρο, το site θεωρείται παραβιασμένο, ακόμη κι αν έχει πλέον ενημερωθεί στην 3.0.124.
- Αν το εγκαταστήσατε αλλά δεν το ενεργοποιήσατε, διαγράψτε τα αρχεία, εγκαταστήστε την 3.0.124 και τρέξτε σάρωση ασφαλείας.
- Αν το κατεβάσατε χωρίς να το εγκαταστήσετε, το περιστατικό από μόνο του δεν δείχνει παραβίαση.
Η ανακοίνωση αφορά μόνο την έκδοση PRO, που διανέμεται από το rankmath.com και όχι από το WordPress.org. Η δωρεάν έκδοση, με πάνω από 4 εκατομμύρια ενεργές εγκαταστάσεις, δεν αναφέρεται.
Backdoor που ξαναδημιουργείται
Η Wordfence προειδοποιεί ότι το κακόβουλο λογισμικό μπορεί να ξαναφτιάξει το κρυφό backdoor (κερκόπορτα) κάθε φορά που κάποιος επισκέπτεται το site. Η εγκατάσταση της καθαρής έκδοσης 3.0.124 αντικαθιστά το plugin, αλλά δεν αφαιρεί αρχεία, λογαριασμούς διαχειριστή ή προγραμματισμένες εργασίες που έχουν ήδη τοποθετηθεί αλλού στον server.
Οι πιθανές αλλαγές περιλαμβάνουν:
- αρχεία PHP σε φακέλους άλλων plugins, θεμάτων και στον φάκελο mu-plugins,
- νέους λογαριασμούς διαχειριστή με όνομα που αρχίζει από
wpsupport_ή email που τελειώνει σε@wp-mail[.]net, - ένα ψεύτικο αρχείο «πυρήνα» WordPress, το
wp-includes/class-wp-cache-util.php, - αλλαγές στο
.htaccessώστε αρχεία.cacheνα εκτελούνται ως PHP, - προγραμματισμένες εργασίες (cron) και κλειδιά SSH.
Κάθε κωδικός, διαπιστευτήριο βάσης δεδομένων ή κλειδί API στο οποίο είχε πρόσβαση το site πρέπει να θεωρηθεί εκτεθειμένο.
Τι γνωρίζουμε για το Rank Math PRO και τι όχι
Η Wordfence δήλωσε το περιστατικό με το αναγνωριστικό CVE-2026-111862 και βαθμολογία 9,8 στα 10. Η Patchstack το κατατάσσει ως backdoor και σημειώνει ότι, επειδή η επίθεση έγινε στα ίδια τα συστήματα της Rank Math, «δεν είναι δυνατός κανόνας αντιμετώπισης». Ούτε η εταιρεία ούτε η Wordfence έχουν δημοσιεύσει ανάλυση του κώδικα ή έχουν κατονομάσει τους δράστες. Η Rank Math, που ανήκει στον σουηδικό όμιλο group.one, δεν έχει εξηγήσει πώς μπήκαν τα κακόβουλα αρχεία στο σύστημα διανομής, πόσοι πελάτες τα έλαβαν ή αν τα παρέδωσαν οι αυτόματες ενημερώσεις. Το domain rank1cdn[.]com, που η εταιρεία συστήνει να μπλοκαριστεί, καταχωρίστηκε στις 19:31 UTC της 14ης Οκτωβρίου, περίπου μία μέρα πριν ανοίξει το παράθυρο.
Γιατί έχει σημασία
Το περιστατικό δείχνει πόσο επικίνδυνη είναι μια επίθεση στην αλυσίδα εφοδιασμού. Ο διαχειριστής έκανε ό,τι θεωρείται σωστό, δηλαδή κατέβασε ή ενημέρωσε ένα νόμιμο plugin από τον επίσημο προμηθευτή, και παρ’ όλα αυτά παραβιάστηκε. Δεν είναι μεμονωμένο: τους τελευταίους μήνες έχουν αναφερθεί παρόμοια περιστατικά σε κανάλια ενημέρωσης premium plugins, μεταξύ άλλων με το Smart Slider 3 Pro τον Απρίλιο και με τα Pro plugins της ShapedPlugin τον Ιούνιο. Δεν έχει δημοσιευτεί κάποια σύνδεση ανάμεσα στους δράστες. Τα sites με πληρωμένα plugins δεν πρέπει να θεωρούν την ενημέρωση από τον προμηθευτή εγγυημένα ασφαλή, και χρειάζονται αντίγραφα ασφαλείας και παρακολούθηση.
Τι πρέπει να κάνετε
- Προτιμήστε την επαναφορά: αν έχετε αντίγραφο του site και της βάσης από πριν τις 20:02 UTC της 15ης Οκτωβρίου, επαναφέρετέ το, τρέξτε σάρωση, αλλάξτε όλα τα διαπιστευτήρια και μόνο τότε εγκαταστήστε την 3.0.124 από τον λογαριασμό σας στο rankmath.com.
- Χωρίς καθαρό αντίγραφο, διαγράψτε ολόκληρο τον φάκελο rank-math-pro (η απενεργοποίηση δεν αρκεί), σβήστε από τον πίνακα wp_options τις εγγραφές
_uf6qdn2hmm,t8krdk990phbκαι_np5pvf754c, και μπλοκάρετε τις εξερχόμενες συνδέσεις προςrank1cdn[.]com. Μετά ψάξτε για τις υπόλοιπες αλλαγές. - Αλλάξτε σε κάθε περίπτωση κωδικούς WordPress, στοιχεία βάσης και κλειδιά/salts στο wp-config.php, κλειδιά API, SMTP, πρόσβαση σε hosting, FTP/SFTP/SSH και το two-factor των διαχειριστών.
- Τρέξτε
wp core verify-checksumsκαιwp plugin verify-checksums --all, γνωρίζοντας ότι για premium plugins μπορεί να μην υπάρχουν checksums. Η Wordfence τονίζει ότι η απουσία ευρημάτων δεν αποδεικνύει ότι το site είναι καθαρό. - Κατεβάστε την 3.0.124 μόνο συνδεόμενοι απευθείας στο rankmath.com. Η εταιρεία δηλώνει ότι δεν στέλνει ποτέ συνδέσμους σύνδεσης ή λήψης με email.
Πηγή: The Hacker News