Il malware di Rank Math SEO PRO richiede il ripristino completo del sito
Il malware di Rank Math SEO PRO era incluso in alcune copie della versione 3.0.123 ottenute tra il 15 ottobre 2026 alle 20:02 UTC e il 16 ottobre 2026 alle 07:12 UTC, secondo Rank Math. Il malware è un software progettato per ottenere accesso non autorizzato o causare danni. L'incidente è stato un supply-chain compromise, ossia del codice dannoso è entrato in un software distribuito tramite un fornitore affidabile. Rank Math afferma che qualsiasi sito sul quale sia stato attivato un pacchetto interessato debba essere considerato compromesso, perché il codice potrebbe aver creato file, account amministratore, attività pianificate o modifiche al server al di fuori del plugin stesso. Il semplice aggiornamento non rappresenta quindi una soluzione completa.
Wordfence Intelligence ha assegnato al codice dannoso incorporato e utilizzabile senza autenticazione una valutazione CVSS Critical pari a 9.8. CVSS, il Common Vulnerability Scoring System, è una scala standard per descrivere la gravità dei problemi di sicurezza. Il problema è identificato come CVE-2026-111862, un identificatore pubblico relativo a una specifica vulnerabilità di sicurezza, e Wordfence indica il ricercatore come sconosciuto. Rank Math ha rimosso i file interessati e pubblicato la versione 3.0.124 come sostituzione pulita. Tuttavia, la sola presenza della versione 3.0.123 non dimostra che il sito sia stato compromesso. Rank Math limita l'incidente ai pacchetti scaricati o installati durante l'intervallo di tempo confermato.
La risposta necessaria dipende da ciò che è avvenuto. Se una copia interessata è stata installata e attivata, Rank Math consiglia un ripristino completo. Se è stata installata ma mai attivata, occorre eliminare i file del plugin interessato, installare la versione 3.0.124 dall'account Rank Math ed eseguire una scansione di sicurezza. Se il pacchetto è stato scaricato ma mai installato o attivato, Rank Math afferma che questo incidente, da solo, non indica che il sito web sia stato compromesso. Rank Math dichiara di avere registrazioni degli utenti che hanno ottenuto copie interessate. Chiunque abbia ricevuto una notifica dall'azienda dovrebbe seguire le istruzioni per il ripristino, anche se il sito utilizza ora un'altra versione.
Per un pacchetto attivato, il metodo di ripristino preferibile consiste nel ripristinare sia il sito web sia il relativo database da un backup pulito creato prima del 15 ottobre 2026 alle 20:02 UTC. Il database è il luogo in cui WordPress memorizza contenuti, utenti e impostazioni. Dopo il ripristino, occorre eseguire una scansione del sito, sostituire tutte le credenziali sensibili alle quali il sito web avrebbe potuto accedere e installare la versione 3.0.124 direttamente dall'account. Se non esiste un backup adeguato, Rank Math consiglia ai proprietari che non si sentono a proprio agio nel modificare file, record del database e impostazioni del server di affidare la pulizia manuale a un professionista esperto di sicurezza o al provider di hosting.
L'ordine della pulizia manuale è importante, perché il malware potrebbe ricreare una backdoor nascosta, cioè un metodo occulto per recuperare l'accesso, ogni volta che qualcuno visita il sito. Rank Math afferma che bisogna eliminare l'intera cartella rank-math-pro anziché limitarsi a disattivare il plugin. Successivamente, occorre rimuovere dalla tabella delle impostazioni wp_options ogni record denominato _uf6qdn2hmm, t8krdk990phb o _np5pvf754c. Dove supportato, bisogna bloccare le connessioni in uscita verso rank1cdn[.]com. Solo dopo aver disabilitato questo meccanismo di ricreazione, gli addetti alla risposta dovrebbero rimuovere altro materiale sospetto e, dove opportuno, reinstallare WordPress, i plugin e i temi da copie affidabili.
Gli indicators of compromise indicati da Rank Math comprendono connessioni a rank1cdn[.]com, nomi di amministratori che iniziano con wpsupport_ e account che utilizzano indirizzi con il suffisso @wp-mail[.]net. Gli indicatori relativi ai file includono wp-includes/class-wp-cache-util.php, che secondo Rank Math non è un file legittimo del WordPress core, e file PHP inattesi. PHP è il linguaggio di programmazione utilizzato da WordPress. Tra le posizioni sospette figurano wp-content/mu-plugins/, che contiene plugin caricati automaticamente, le cartelle appartenenti ad altri plugin, le directory inc/, includes/ e lib/ dei temi non predefiniti, la directory includes/ di Rank Math e la directory uploads.
Altri segnali di allarme includono codice PHP che utilizza base64_decode con cicli XOR, la key xmmqhn, proc_open o codice relativo a socket PHP-FPM, che comunica con il processo che esegue PHP. I proprietari dovrebbero esaminare i file di configurazione .htaccess nella root e nelle sottodirectory per individuare regole che consentono ai file .cache di essere eseguiti come PHP, nonché controllare i file .cache per verificare la presenza di codice PHP. Le attività cron di sistema, eseguite automaticamente secondo una pianificazione, sono sospette se appartengono all'utente del web server e contengono il marcatore #ms6v46. Rank Math consiglia inoltre di controllare gli eventi pianificati di WordPress, le chiavi SSH autorizzate utilizzate per l'accesso remoto al server, le attività appartenenti ad altri utenti di sistema, i processi in esecuzione e le posizioni scrivibili al di fuori della directory del sito web. L'assenza di tutti questi segnali non dimostra che il sito sia pulito.
La sostituzione delle credenziali rimane essenziale anche dopo il ripristino di un backup. Rank Math consiglia di cambiare le password di WordPress, le credenziali del database, le security keys e i salt di WordPress, le credenziali dei servizi di pagamento e di posta elettronica, le API keys che consentono al software di accedere ad altri servizi, i dati di accesso al pannello di controllo dell'hosting e le credenziali di accesso FTP, SFTP o SSH utilizzate per il trasferimento di file o l'amministrazione remota. È inoltre necessario controllare gli account amministratore e le relative impostazioni di two-factor authentication, che richiedono una seconda verifica al momento dell'accesso. L'avviso riguarda ogni segreto che potrebbe essere stato accessibile al web server compromesso, non soltanto la password di WordPress.
Dopo la pulizia, occorre eseguire una scansione completa e verificare i file del WordPress core con `wp core verify-checksums`. Un checksum è un'impronta digitale utilizzata per rilevare se un file è stato modificato. Controllare i file dei plugin con `wp plugin verify-checksums --all`; poiché i checksum non sono disponibili per tutti i plugin premium, i prodotti non supportati devono essere confrontati con una copia pulita scaricata direttamente dallo sviluppatore. Continuare a monitorare le connessioni in uscita e controllare se i file eliminati ricompaiono. La ricomparsa dei file indica che la pulizia è incompleta.
Rank Math afferma che la versione 3.0.124 deve essere ottenuta accedendo direttamente a rankmath.com ed effettuando il login. L'azienda dichiara che non invierà tramite email link per il login o il download; pertanto, i messaggi inattesi contenenti tali link devono essere considerati sospetti. Il periodo interessato si è concluso alle 07:12 UTC del 16 ottobre e Rank Math ha pubblicato il proprio avviso di sicurezza lo stesso giorno. Il suo avviso rimane la fonte autorevole per gli aggiornamenti sull'incidente. Wordfence afferma che i clienti Care e Response possono contattare il suo team di incident response per ricevere assistenza nelle indagini e nella pulizia.
Per i lettori che cercano protezione a livello di hosting, AEU Hosting offre managed WordPress hosting protetto end to end. Indipendentemente dal provider, i proprietari di un sito interessato dovrebbero conservare le prove, utilizzare ove possibile un backup precedente all'incidente, sostituire i segreti esposti, installare la release pulita e continuare a monitorare eventuali nuovi accessi.