Cópias do Rank Math PRO, a versão paga do plugin de otimização para mecanismos de busca Rank Math para WordPress, continham malware quando foram baixadas de rankmath.com ou distribuídas como atualizações entre 15 de outubro, às 20h02 UTC, e 16 de outubro, às 7h12 UTC. A empresa informou sobre o incidente em um comunicado de segurança publicado em 16 de outubro.
Qualquer site que tenha instalado e ativado uma dessas cópias deve ser considerado comprometido. O malware pode recriar a backdoor oculta sempre que alguém visita o site.
A Rank Math removeu os arquivos afetados e lançou a versão limpa 3.0.124. A instalação substitui o plugin, mas não remove arquivos, contas de administrador ou tarefas agendadas que o malware possa ter criado em outros locais do servidor, alertou a Wordfence em um comunicado publicado em 17 de outubro.
Quem foi afetado
O número da versão não permite identificar se uma cópia foi comprometida. O histórico de alterações da Rank Math registra que a versão 3.0.123 foi lançada em 7 de outubro, mais de uma semana antes do início do período afetado. O comunicado limita o incidente às cópias baixadas ou instaladas por meio de uma atualização dentro desse intervalo.
Uma cópia da versão 3.0.123 obtida antes de 15 de outubro, às 20h02 UTC, não está dentro do período afetado.
A Rank Math divide os casos em três situações:
- Se você instalou e ativou a versão 3.0.123 durante o período, considere o site comprometido, mesmo que já tenha atualizado para a versão 3.0.124, e siga as etapas de recuperação abaixo.
- Se você instalou o plugin, mas nunca o ativou, exclua os arquivos, instale a versão 3.0.124 pela sua conta Rank Math e execute uma verificação de segurança.
- Se você baixou a versão, mas nunca a instalou nem ativou, nada neste incidente, por si só, indica que o site foi comprometido.
A Rank Math enviou mensagens a alguns usuários sobre o incidente e orientou quem não souber se os arquivos foram instalados ou ativados a entrar em contato com a equipe de suporte.
O comunicado se aplica apenas ao plugin PRO, que os clientes baixam e atualizam em rankmath.com, e não ao WordPress.org. O plugin gratuito Rank Math SEO, disponível no WordPress.org, com mais de 4 milhões de instalações ativas e última atualização em 6 de outubro, não é mencionado no alerta.
O que o malware faz
As informações conhecidas sobre o malware vêm do comunicado da Rank Math. Nem a empresa nem a Wordfence incluíram uma análise do código ou identificaram os responsáveis pelo ataque.
Excluir arquivos suspeitos antes de interromper o mecanismo que recria a backdoor pode não resolver o problema. Por isso, é importante seguir a ordem de limpeza indicada abaixo. O invasor também pode ter deixado arquivos PHP de backdoor em pastas de outros plugins, em temas e no diretório de plugins de uso obrigatório. Também pode ter criado contas de administrador, incluído um arquivo falso do núcleo do WordPress, alterado o arquivo .htaccess para executar arquivos .cache como PHP e adicionado tarefas agendadas e chaves SSH.
Qualquer senha, credencial de banco de dados, chave de API ou outro segredo acessível pelo site pode ter sido exposto. Os responsáveis devem presumir que isso aconteceu.
A Wordfence atribuiu ao incidente o
CVE-2026-111862
e deu a ele a nota 9,8 de 10. O pesquisador responsável não foi identificado.
A Patchstack classifica o caso como uma backdoor e afirma que, como o ataque ocorreu nos próprios sistemas da Rank Math, “não é possível criar uma regra de mitigação”.
Como recuperar o site
A opção de recuperação recomendada pela Rank Math é restaurar um backup. Se houver uma cópia do site e do banco de dados anterior a 15 de outubro, às 20h02 UTC, restaure-a, execute uma verificação de segurança, troque todas as senhas e credenciais e só então instale a versão 3.0.124 pela sua conta Rank Math.
Se não houver um backup limpo, a limpeza manual deve seguir uma ordem definida. Três ações precisam ser realizadas antes de qualquer outra:
- Exclua toda a pasta do plugin rank-math-pro usando o gerenciador de arquivos da hospedagem ou FTP. “Desativar o plugin não é suficiente”, diz o comunicado.
- Na tabela wp_options, exclua todas as entradas cujo option_name seja _uf6qdn2hmm, t8krdk990phb ou _np5pvf754c.
- Bloqueie as conexões de saída para rank1cdn[.]com, se o provedor de hospedagem ou o firewall permitir.
Só depois disso deve começar a busca por outras alterações nos seguintes locais:
- **Arquivos:** arquivos PHP em wp-content/mu-plugins/, nas pastas de outros plugins, nas pastas inc/, includes/ e lib/ de temas que não vêm instalados por padrão, na pasta includes/ do próprio Rank Math e em uploads/.
- **Código:** trechos em PHP que usem base64_decode com ciclos XOR, a chave xmmqhn, proc_open ou código para soquetes PHP-FPM.
- **Arquivo:** wp-includes/class-wp-cache-util.php, que não faz parte dos arquivos originais do WordPress.
- **Contas:** nomes de administrador iniciados por wpsupport_ ou contas com endereços de e-mail terminados em @wp-mail[.]net.
- **Servidor:** regras no .htaccess que permitam executar arquivos .cache como PHP; arquivos .cache com código PHP; entradas identificadas pela marca #ms6v46 na tabela de tarefas agendadas do usuário do servidor web; eventos agendados do WordPress; arquivos authorized_keys de SSH; tabelas de tarefas agendadas de outros usuários; processos em execução; e qualquer local fora do site em que o servidor web possa gravar.
A Wordfence alerta: “A ausência desses itens, por si só, não comprova que um site está limpo”.
As credenciais devem ser trocadas em todos os casos, inclusive após a restauração de um backup. A lista inclui senhas do WordPress; nome de usuário e senha do banco de dados em wp-config.php; chaves de segurança e valores aleatórios do mesmo arquivo; chaves de API de meios de pagamento, SMTP e outros serviços; acesso ao painel de controle da hospedagem, por FTP, SFTP e SSH; segredos armazenados em variáveis de ambiente; e autenticação de dois fatores (2FA) dos administradores.
A limpeza termina com uma verificação de segurança e a execução dos comandos wp core verify-checksums, para conferir os arquivos originais do WordPress, e wp plugin verify-checksums --all. Há uma ressalva: pode não haver valores de hash disponíveis para plugins pagos.
O WordPress.org não publica valores de hash para esse plugin. Em 19 de outubro, o The Hacker News consultou o serviço plugin-checksums e não encontrou arquivos do plugin PRO sob nenhum dos dois nomes. O serviço, porém, oferece valores de hash para o plugin gratuito. Como alternativa, o comunicado orienta baixar uma cópia limpa da fonte oficial.
A versão limpa 3.0.124 deve ser instalada por último, após o acesso direto a rankmath.com para baixá-la. Segundo o comunicado, alguns clientes talvez não consigam acessar suas contas e precisem redefinir a senha. A empresa não explicou o motivo e ressaltou que nunca enviará por e-mail links para entrar na conta ou baixar o plugin.
O que a Rank Math não informou
A Rank Math, que faz parte do grupo sueco de hospedagem group.one, não explicou como os arquivos maliciosos chegaram ao sistema de download e atualização, quantos clientes receberam uma cópia comprometida, se as atualizações automáticas distribuíram os arquivos nem quais são os valores de hash dos pacotes limpos e infectados. A única informação sobre medidas futuras é que a equipe está tomando providências para reduzir o risco de incidentes semelhantes.
Registros de domínio mostram que rank1cdn[.]com, endereço que a Rank Math orienta os clientes a bloquear, foi registrado em 14 de outubro, às 19h31 UTC, cerca de um dia antes do início do período afetado.
Um padrão que se repete neste ano
Este é pelo menos o terceiro caso neste ano em que o canal de atualização mantido pelo fornecedor de um plugin pago para WordPress distribui versões com backdoor. Em abril, o sistema de atualização da Nextend distribuiu uma versão comprometida do Smart Slider 3 Pro por cerca de seis horas.
Em junho, foi constatado que plugins PRO da ShapedPlugin tinham sido comprometidos no canal de atualização da empresa. Um pacote que havia sido distribuído sem alterações foi posteriormente “modificado mantendo o mesmo número de versão”, situação semelhante à que os clientes da Rank Math enfrentam agora.
Em junho, invasores também alteraram scripts distribuídos pela rede de distribuição de conteúdo da Awesome Motive. Em agosto, comprometeram o fluxo de API da BdThemes. Nenhuma informação publicada relaciona os responsáveis por esses incidentes ao ataque contra a Rank Math.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...