熱門 WordPress SEO 外掛 Rank Math PRO 被盜用植入自恢復後門

Rank Math 宣佈，在 10 月 15 日 20:02 UTC 至 10 月 16 日 07:12 UTC 期間，從 rankmath.com 下載或作為更新交付的 Rank Math PRO（WordPress Rank Math SEO 外掛的付費版本）複本含有惡意程式，並於 10 月 16 日發布安全通知。

任何安裝並啟用其中一個複本的網站都應視為已被攻陷，且惡意程式可在任何人造訪網站時重新建立其隱藏後門。

Rank Math 已移除受影響的檔案並發布乾淨版本 3.0.124。安裝此版本會取代外掛，但不會移除惡意程式已在伺服器其他位置留下的檔案、管理員帳號或排程任務，Wordfence 在 10 月 17 日的通告中表示。

受影響者

版本號並不顯示複本是否受影響。Rank Math 的更新日誌將 3.0.123 記錄於 10 月 7 日，早於開放視窗一週以上，且通知僅將事件限制於視窗期間下載或透過更新安裝的複本。

在 10 月 15 日 20:02 UTC 之前取得的 3.0.123 複本不在範圍內。

通知將網站分為三種情況：

若您在視窗期間安裝並啟用 3.0.123：即使後續已更新至 3.0.124，也應視該網站已被攻陷，並依下列恢復步驟操作。
若您安裝了它但未啟用：刪除該外掛檔案，從您的 Rank Math 帳號安裝 3.0.124，並執行安全掃描。
若您僅下載但未安裝或啟用：此事件本身並未顯示該網站已被攻陷。

Rank Math 已就此事件傳送電子郵件給部分使用者，並建議不確定檔案是否已安裝或啟用的人聯絡其支援團隊。

此通知僅適用於 PRO 外掛，該外掛由客戶從 rankmath.com 下載並更新，而非 WordPress.org。WordPress.org 上的免費 Rank Math SEO 外掛，擁有超過 400 萬活躍安裝，且於 10 月 6 日最後一次更新，未在通知中提及。

惡意程式的功能

關於惡意程式的已知資訊來自 Rank Math 的通知。無論是通知還是 Wordfence 的通告，都未包含程式碼分析，也未透露背後的作者。

在停止能重新建立後門的機制前刪除可疑檔案，可能無法解決問題，這也是以下清理順序重要的原因。攻擊者可能還在其他外掛資料夾、佈景主題資料夾及 must-use 外掛目錄留下 PHP 後門檔案，建立管理員帳號，加入偽造的 WordPress 核心檔案，修改 .htaccess 使 .cache 檔案以 PHP 執行，並新增排程任務與 SSH 金鑰。

網站可能存取的任何密碼、資料庫憑證、API 金鑰或其他機密資料，皆可能已被洩露，業主應假設已被洩漏。

Wordfence 為此事件編號 CVE-2026-111862，評分 10 分中 9.8 分，研究者身份未列明。

Patchstack 將其歸類為後門，並表示由於攻擊針對 Rank Math 自身系統，無法針對此設定規則進行緩解。

恢復方式

Rank Math 推薦的恢復方式為還原備份。若有 10 月 15 日 20:02 UTC 之前的網站及資料庫備份，先還原，執行安全掃描，變更所有密碼與憑證，然後再從您的 Rank Math 帳號安裝 3.0.124。

若無乾淨備份，手動清理將以固定順序執行，三個動作會先於其他任何專案被處理：

使用主機檔案管理器或 FTP 刪除整個 rank-math-pro 外掛資料夾。通知中說：「僅停用外掛不足以解決問題。」
在 wp_options 資料表中，刪除任何 option_name 為 _uf6qdn2hmm、t8krdk990phb 或 _np5pvf754c 的專案。
若主機供應商或防火牆允許，請封鎖對 rank1cdn[.]com 的外向連線。

只有在此之後，才會在以下位置搜尋其他變更：

檔案：位於 wp-content/mu-plugins/、其他外掛資料夾、非預設佈景主題的 inc/、includes/ 與 lib/ 資料夾、Rank Math 自身的 includes/ 資料夾，以及 uploads/ 中的 PHP 檔案。
程式碼：使用 base64_decode 與 XOR 迴圈、鍵 xmmqhn、proc_open 或 PHP-FPM socket 的 PHP 程式碼。
檔案：wp-includes/class-wp-cache-util.php，該檔案並非 WordPress 核心檔案。
帳號：以 wpsupport_ 開頭的管理員使用者名稱，或電子郵件結尾為 @wp-mail[.]net 的帳號。
伺服器：.htaccess 規則允許 .cache 檔案以 PHP 執行、.cache 檔案內含 PHP 程式碼、標記為 #ms6v46 的網頁伺服器使用者 crontab 條目、WordPress 排程事件、SSH authorized_keys 檔案、其他使用者的 crontab、正在執行的程序，以及任何網站外部且網頁伺服器可寫入的位置。

Wordfence 提醒："僅因缺少上述專案並不代表網站已經乾淨。"

無論任何情況，即使從備份恢復後，憑證也會被更改。清單包含 WordPress 密碼、wp-config.php 中的資料庫使用者名稱與密碼、同一檔案中的安全金鑰與鹽值、支付閘道、SMTP 與其他 API 金鑰、主機控制面板、FTP、SFTP 與 SSH 存取、環境變數中的秘密，以及管理員的雙因素驗證。

清理結束時會進行安全掃描，執行 wp core verify-checksums 檢查 WordPress 核心，及 wp plugin verify-checksums --all，並提醒預設外掛可能沒有校驗碼。

WordPress.org 為此外掛未釋出任何校驗碼。Hacker News 在 10 月 19 日檢查其 plugin-checksums 服務，發現 PRO 版外掛在兩個名稱下皆無檔案，而服務則為免費版釋出了一份。備援通知提供官方來源的乾淨副本。

乾淨版 3.0.124 會最後提供，使用者需直接登入 rankmath.com 下載。通知指出，一些客戶可能無法登入，需重設帳號密碼，未說明原因，且 Rank Math 永遠不會透過電子郵件傳送登入或下載連結。

Rank Math 尚未說明的事項

Rank Math，屬於瑞典主機集團 group.one，尚未說明惡意檔案如何進入其下載與更新系統、多少客戶收到、是否透過自動更新傳送，以及乾淨與受汙染套件的雜湊值。其對未來的唯一說法是團隊正採取措施降低類似事件的風險。

序號產生器構紀錄顯示 Rank Math 建議業主封鎖的網域 rank1cdn[.]com，於 10 月 14 日 19:31 UTC 註冊，距開啟視窗約一天前。

今年的模式

這至少是今年第三次，某個高階 WordPress 外掛的供應商管理更新頻道交付了被植入後門的版本。在四月，Nextend 的更新系統為大約六小時提供了被植入後門的 Smart Slider 3 Pro。

在六月，ShapedPlugin's Pro plugins 被發現其更新頻道已被植入後門，且一個原本乾淨的套件後來被「在相同版本號下被篡改」，這是 Rank Math 客戶現在面臨的陷阱。

攻擊者亦於六月改動了 Awesome Motive's CDN 所提供的指令碼，並於八月毒化了 BdThemes' API feed。沒有任何公開資訊將這些事件背後的攻擊者與此事件連結。

覺得這篇文章有趣嗎？請在 Google News、Twitter 與 LinkedIn 上追蹤我們，以閱讀更多我們發布的獨家內容。