Rank Math PRO 3.0.123供应链攻击植入后门

资讯专家

事件概述
Rank Math PRO 是一款 WordPress SEO 插件。其 3.0.123 版本的部分安装包在供应链攻击中被植入恶意代码。Rank Math 表示，如果插件被激活，恶意代码可能允许攻击者接管网站。

影响范围
在 2026-10-15 20:02 UTC 至 2026-10-16 07:12 UTC 之间下载或更新到 3.0.123 版本的用户可能受影响。Rank Math 已移除受影响文件，并发布干净版本 Rank Math PRO v3.0.124。在上述时间窗口安装并激活 3.0.123 的站点应按已失陷处理，优先从事件发生前的干净备份恢复。恶意代码可能为攻击者提供对失陷站点的持久访问，并可能暴露凭据、API 密钥和其他秘密。

处置建议
无法从备份恢复的站点，应删除 Rank Math PRO 插件目录，删除恶意数据库条目，阻断攻击者域名 rank1cdn[.]com，并查找和删除可疑 PHP 文件及未知管理员账户。

持久化与排查
Rank Math 表示，恶意代码可能在每次页面访问时重建隐藏后门，其持久化机制可能使手动清理变得困难。恶意代码还可能投放伪造的 WordPress 核心文件，修改 .htaccess 文件添加规则使 .cache 文件按 PHP 代码执行，投放包含 PHP 代码的 .cache 文件，创建计划任务和 cron 作业，修改其他插件和主题，并上传其他文件。攻击者也可能在 WordPress 安装目录之外进行更改，站点管理员还应检查 SSH authorized_keys 文件、其他系统用户的 crontab、可疑进程，以及 Web 服务器用户有写权限的其他位置。

恢复后操作
在确认网站干净后，应更改所有密码，并安装干净版本的 Rank Math PRO。