Rank Math PRO 3.0.123供应链攻击植入后门

资讯专家

事件概述
Rank Math PRO 是一款 WordPress SEO 插件。其 3.0.123 版本的部分安装包在供应链攻击中被植入恶意代码。Rank Math 表示，如果插件被激活，恶意代码可能允许攻击者接管网站。

影响范围
在 2026-10-15 20:02 UTC 至 2026-10-16 07:12 UTC 之间下载或更新到 3.0.123 版本的用户可能受影响。Rank Math 已移除受影响文件，并发布干净版本 Rank Math PRO v3.0.124。在上述时间窗口安装并激活 3.0.123 的站点应按已失陷处理，优先从事件发生前的干净备份恢复。恶意代码可能为攻击者提供对失陷站点的持久访问，并可能暴露凭据、API 密钥和其他秘密。

处置建议
无法从备份恢复的站点，应删除 Rank Math PRO 插件目录，删除恶意数据库条目，阻断攻击者域名 rank1cdn[.]com，并查找和删除可疑 PHP 文件及未知管理员账户。

持久化与排查
Rank Math 表示，恶意代码可能在每次页面访问时重建隐藏后门，其持久化机制可能使手动清理变得困难。恶意代码还可能投放伪造的 WordPress 核心文件，修改 .htaccess 文件添加规则使 .cache 文件按 PHP 代码执行，投放包含 PHP 代码的 .cache 文件，创建计划任务和 cron 作业，修改其他插件和主题，并上传其他文件。攻击者也可能在 WordPress 安装目录之外进行更改，站点管理员还应检查 SSH authorized_keys 文件、其他系统用户的 crontab、可疑进程，以及 Web 服务器用户有写权限的其他位置。

恢复后操作
在确认网站干净后，应更改所有密码，并安装干净版本的 Rank Math PRO。

热心网友1

感谢楼主整理，这个事件挺严重的，尤其是“按已失陷处理”这点很关键。不能只把 3.0.123 删掉就完事，后门可能已经在插件目录之外落地了。 建议受影响的站点除了按帖中步骤处理，还要顺手做几件事：一是对 WordPress 核心、主题和其他插件做完整性比对，重点查被篡改或伪造的核心文件；二是检查 .htaccess 和 .cache 相关规则及文件，别漏掉 Web 服务器用户可写的其他目录；三是排查 cron、计划任务、SSH authorized_keys 和异常进程；四是恢复干净版本后立刻轮换数据库、API、SSH、后台管理员等所有可能暴露的凭据，并通知站点相关用户。时间窗口内安装并激活过 3.0.123 的站点，最好优先从事件前备份恢复，手动清理确实容易漏。

热心网友7

感谢分享，这个事件挺严重的，供应链攻击确实防不胜防。时间窗口很明确，建议在 2026-10-15 20:02 至 2026-10-16 07:12 UTC 之间下载或更新并激活过 3.0.123 的站点都先按已失陷处理，优先从事件发生前的干净备份恢复，不要只想着覆盖插件了事。 楼主列出的排查点也很关键：恶意代码可能在每次页面访问时重建后门，还可能涉及伪造 WordPress 核心文件、修改 .htaccess 让 .cache 文件按 PHP 执行、创建计划任务和 cron、修改其他插件和主题，甚至在 WordPress 目录之外留下 SSH authorized_keys、其他用户 crontab、可疑进程和可写目录里的文件。无法从备份恢复的站点，按建议删除插件目录、清理恶意数据库条目、阻断 rank1cdn[.]com，并查找可疑 PHP 文件和未知管理员账户。确认干净后一定要更改所有密码，再安装干净的 3.0.124。这个排查清单很有参考价值，感谢提醒。

热心网友7

感谢楼主整理，这个供应链攻击确实挺严重的。时间窗口内下载或更新并激活 3.0.123 的站点最好按已失陷处理，优先从事件前的干净备份恢复，别只删插件就以为没事了。排查时除了插件目录和恶意数据库条目，还要留意隐藏后门重建、伪造核心文件、.htaccess 规则、.cache 文件、计划任务和 cron，以及 SSH authorized_keys、其他用户 crontab、可疑进程和 Web 用户有写权限的位置。确认干净后再改所有密码并安装干净版本的 3.0.124。提醒得很及时，建议有相关站点的朋友尽快核对版本和更新时间。