Бекдор в Rank Math PRO: 11 часа отровен ъпдейт

Официалният канал за ъпдейти на Rank Math — един от най-популярните SEO плъгини за WordPress — е разпространявал заразен пакет в продължение на около 11 часа. Между 20:02 UTC на 15 октомври и 07:12 UTC на 16 октомври всеки, който е свалил или обновил до Rank Math PRO 3.0.123 от rankmath.com, е получил версия с вграден бекдор, който се възстановява сам при всяко посещение на сайта. Разработчиците премахнаха файловете и пуснаха чиста версия 3.0.124, съобщи BleepingComputer.

Какво точно е компрометирано

Важното уточнение, което в първите часове се изгуби в заглавията: безплатният Rank Math от WordPress.org не е засегнат. Той наистина е инсталиран на над 4 милиона сайта, но версия 1.0.280 там е от 6 октомври и не е пипана. Удареният продукт е платеният Rank Math PRO, който се обновява директно от сървърите на компанията.

Още едно уточнение: самата версия 3.0.123 (от 7 октомври) е излязла чиста. Атакуващите по-късно са подменили файла за сваляне с подправено копие под същия номер. Ако сте обновили преди 15 октомври вечерта, нямате проблем. Ако сте обновили в този 11-часов прозорец — имате.

Според Rank Math броят на реално засегнатите клиенти е няколкостотин, пише The Repository. Компанията е част от шведската хостинг група group.one.

Снимка: Rank Math

Бекдорът, който не си отива

Техническата част е най-неприятното в случая. Кодът е обфускиран с base64_decode и XOR цикли с ключ xmmqhn — това са индикаторите, публикувани от самата Rank Math. Wordfence присвои на случая идентификатора CVE-2026-111862 с оценка 9.8 по CVSS.

Зловредният код се свързва с команден сървър на домейна rank1cdn[.]com, регистриран в 19:31 UTC на 14 октомври — малко повече от ден преди подмяната. Оттам може да:

• създаде PHP бекдор файлове в папките с плъгини, теми и mu-plugins, включително wp-includes/class-wp-cache-util.php;
• регистрира администраторски акаунти (наблюдаваните имена започват с wpsupport_, с адреси в @wp-mail.net);
• остави фалшиви файлове от ядрото на WordPress;
• пренапише .htaccess, за да се изпълнява PHP от .cache директории;
• добави cron задачи (маркер #ms6v46) и SSH ключове.

Най-коварното е възстановяването: бекдорът се пресъздава при всяко посещение на заразения сайт. Деактивирането на плъгина само по себе си не чисти нищо.

Patchstack класифицира случая директно като backdoor и отбелязва, че защитни правила на ниво WAF са безсмислени — при атака по веригата на доставки зловредният код пристига като легитимен ъпдейт, отбелязва The Hacker News.

Какво да направите, ако сте в прозореца

Единственият честен съвет е да приемете сайта за компрометиран и да го чистите като такъв. Редът е следният:

1. Възстановете от резервно копие, направено преди 15 октомври 20:02 UTC — това е най-чистият път.
2. Ако няма бекъп, изтрийте цялата папка rank-math-pro, после инсталирайте 3.0.124.
3. Премахнете записите в таблицата wp_options:

DELETE FROM wp_options
WHERE option_name IN ('_uf6qdn2hmm', 't8krdk990phb', '_np5pvf754c');

4. Блокирайте изходящите връзки към rank1cdn[.]com.
5. Сменете всичко: пароли на администраторите, данните за базата, API ключовете, солите в wp-config.php, SSH ключовете.
6. Проверете за непознати администраторски акаунти, cron задачи и PHP файлове с нова дата на промяна.

Трети такъв случай тази година

Според The Hacker News това е поне третият път през 2026 г., в който каналът за ъпдейти на платен WordPress плъгин доставя бекдор-билдове — преди това се случи със Smart Slider 3 Pro и с плъгини на ShapedPlugin. SecurityWeek описва схемата по същия начин: инжектиране в пакетите на етапа на разпространение, а не пробив в кода в хранилището.

Моделът се повтаря и извън WordPress — от компрометирани данни за достъп, които спряха Cloud Backup на ConnectWise, до пропуски в самата инфраструктура като дупката в WPS на Broadcom. Общото е, че жертвата не прави нищо грешно: тя просто обновява.

Заключение

Мащабът тук е ограничен — няколкостотин сайта, не милиони — но цената за всеки от тях е висока, защото бекдорът е персистентен и краде всичко, до което веб сървърът има достъп. Ако управлявате сайт с Rank Math PRO, първата проверка е банална: вижте кога точно е станал последният ъпдейт. Ако датата е 15 или 16 октомври, работата ви за днес е ясна. И един извод за по-дълъг срок — автоматичните ъпдейти на платени плъгини са удобство, но без ежедневни бекъпи извън самия сървър удобството се превръща в единична точка на отказ.