Společnost Rank Math potvrdila závažný bezpečnostní incident, při kterém byly některým zákazníkům distribuovány kompromitované instalační balíčky prémiového pluginu Rank Math SEO PRO.
Nejedná se o běžnou programátorskou chybu, ale o útok na dodavatelský řetězec. Škodlivý kód byl součástí distribuovaného pluginu.
Výrobce potvrdil, že kompromitované balíčky byly dostupné přibližně 11 hodin.
Pokud byl takový balíček nainstalován a aktivován, doporučuje výrobce považovat celý web za kompromitovaný.
Důležité: Samotná přítomnost verze 3.0.123 neznamená, že je web napaden. Rozhodující je okamžik stažení nebo aktualizace. Bezplatná verze Rank Math SEO není v oznámení uvedena jako postižená.
Mechanismus útoku
Škodlivý kód obsažený v kompromitovaném pluginu může vytvořit mechanismus trvalého přístupu k webu.
Podle oficiálního bezpečnostního oznámení může malware:
- Vytvářet skrytá PHP zadní vrátka (backdoor).
- Zakládat neoprávněné administrátorské účty.
- Komunikovat s externím serverem útočníka.
- Získávat přístupové údaje k WordPressu a databázi.
- Získávat API klíče, přístupové tokeny a další citlivé informace.
- Vytvářet škodlivé systémové úlohy cron.
- Upravovat soubory dalších pluginů a šablon.
- Obnovovat odstraněná zadní vrátka při návštěvě webu.
Zásadním problémem je schopnost malwaru obnovovat své součásti i po jejich odstranění.
Pouhá aktualizace pluginu proto nemusí kompromitovaný web zabezpečit.
Indikátory kompromitace
Výrobce zveřejnil konkrétní indikátory, podle kterých lze napadení identifikovat.
1. Podezřelé databázové záznamy
V tabulce wp_options se mohou nacházet následující položky:
_uf6qdn2hmm
t8krdk990phb
_np5pvf754c
2. Neoprávněné administrátorské účty
Podezřelá uživatelská jména mohou začínat:
wpsupport_
Podezřelé e-mailové adresy mohou používat doménu:
wp-mail.net
3. Podvržený soubor WordPressu
Malware může vytvořit soubor:
wp-includes/class-wp-cache-util.php
Tento soubor není součástí standardní instalace WordPressu.
4. Škodlivé PHP soubory
Podezřelé soubory se mohou nacházet v adresářích:
wp-content/mu-plugins/
wp-content/uploads/
wp-content/plugins/
Případně také v adresářích aktivních šablon.
5. Komunikace s externím serverem
Malware může komunikovat s doménou:
rank1cdn.com
6. Škodlivé systémové úlohy
V systémovém cronu se mohou nacházet úlohy obsahující označení:
#ms6v46
Výrobce upozorňuje, že nepřítomnost těchto indikátorů sama o sobě nezaručuje, že web nebyl kompromitován.
Možné následky
Úspěšný útok může vést k úplnému převzetí WordPress instalace.
Útočník může získat administrátorská oprávnění, manipulovat s obsahem, instalovat další malware nebo přistupovat k databázi.
U e-shopů provozovaných na WooCommerce mohou být ohroženy také zákaznické údaje, objednávky a přístupové údaje k integrovaným službám.
Zvláště závažná je možnost získání API klíčů platebních bran, SMTP přístupových údajů a databázových hesel.
Výrobce proto doporučuje předpokládat, že veškeré přístupové údaje dostupné kompromitovanému webu mohly být zpřístupněny útočníkovi.
Hodnocení závažnosti
CVSS: 9.8/10 – Kritická 🔴
Hodnocení Wordfence.
Dostupnost bezpečnostní opravy
Výrobce odstranil kompromitované distribuční balíčky a vydal čistou verzi Rank Math SEO PRO 3.0.124.
Samotná aktualizace však nestačí u webů, které kompromitovanou verzi aktivovaly.
Malware mohl mezitím vytvořit další soubory, administrátorské účty nebo systémové úlohy mimo adresář původního pluginu.
Doporučené kroky
- Doporučujeme okamžitě prověřit všechny WordPress instalace používající Rank Math SEO PRO. Prioritou jsou weby aktualizované mezi 15. říjnem 2026 ve 22:02 a 16. říjnem 2026 v 09:12 českého času.
- U webů, které v uvedeném období aktivovaly kompromitovaný balíček, doporučujeme postupovat jako při potvrzené kompromitaci.
- Doporučujeme přednostně obnovit web i databázi z důvěryhodné zálohy vytvořené před 15. říjnem 2026 ve 22:02 českého času. Před obnovou je vhodné zajistit dostupné důkazy o incidentu.
- Pokud není dostupná vhodná záloha, doporučujeme odborné odstranění malwaru. Podle pokynů výrobce je nejprve nutné odstranit celý adresář kompromitovaného pluginu, uvedené škodlivé databázové záznamy a zablokovat komunikaci s
rank1cdn.com.
- Následně doporučujeme prověřit všechny administrátorské účty, PHP soubory, systémové úlohy a konfiguraci webového serveru.
- Doporučujeme změnit veškeré potenciálně kompromitované přístupové údaje, včetně hesel WordPressu, databáze, hostingu, FTP/SFTP/SSH, SMTP a API klíčů.
- Je vhodné obnovit bezpečnostní klíče a salts ve
wp-config.php.
- Doporučujeme prověřit integritu WordPressu prostřednictvím
wp core verify-checksums a dostupných kontrolních součtů pluginů.
- Po dokončení obnovy doporučujeme nainstalovat čistou verzi Rank Math SEO PRO 3.0.124 přímo z uživatelského účtu výrobce.
- Je vhodné následně sledovat odchozí síťovou komunikaci, nově vytvářené soubory a neobvyklé administrátorské operace.
Důležité: U webů, které kompromitovaný balíček pouze stáhly, ale nikdy jej nenainstalovaly ani neaktivovaly, výrobce nepotvrdil kompromitaci. V takovém případě doporučuje odstranit stažené soubory a použít čistou verzi.
Zdroj: Oficiální bezpečnostní oznámení Rank Math
