Rank Math PRO 3.0.123: как проверить сайт

Ночью 15 октября ваш сайт обновился сам. Утром в списке плагинов - Rank Math PRO 3.0.123. Пора волноваться?

Возможно. Часть копий Rank Math PRO 3.0.123 содержала вредоносный код. Скачать их можно было в течение 11 часов. Тут важнее время загрузки, а не номер версии. Если зараженная копия работала на сайте, обновление до 3.0.124 не уберет все, что она могла оставить.

Что случилось с Rank Math PRO 3.0.123

По словам Rank Math, зараженную копию скачало ограниченное число пользователей. Сколько именно сайтов ее получили и как вредоносные файлы попали в пакет, компания не уточнила. Wordfence зарегистрировал инцидент как CVE-2026-111862 с оценкой 9,8 из 10. Опасное окно загрузки:

UTC: с 15 октября 2026 года, 20:02, до 16 октября, 07:12
Центральная Европа (CEST): с 15 октября, 22:02, до 16 октября, 09:12
Таллин, Рига и Хельсинки (EEST): с 15 октября, 23:02, до 16 октября, 10:12

Это касается и скачивания, и обновлений - автоматических тоже. Бесплатный Rank Math с WordPress.org в сообщении об инциденте не упоминается. Речь о платном дополнении PRO: оно приходит с серверов Rank Math и лежит в папке rank-math-pro.

16 октября Rank Math удалил зараженные файлы и выпустил чистую версию 3.0.124. Зайдите на rankmath.com напрямую и войдите в аккаунт. Не скачивайте плагин по ссылке из письма: Rank Math говорит, что не рассылает ссылки для входа или загрузки. Некоторым пользователям сначала придется сбросить пароль от аккаунта Rank Math.

Как понять, досталась ли вам зараженная копия

Одна только версия 3.0.123 ничего не доказывает. Впервые она вышла 7 октября. Если вы установили ее до опасного окна, это была обычная сборка. Нужно выяснить, когда именно копия попала на сайт.

Откройте раздел «Плагины» и проверьте, стоит ли сейчас Rank Math PRO 3.0.123 или стояла ли эта версия недавно. Само по себе это не признак заражения.
Посмотрите даты изменения файлов в rank-math-pro через файловый менеджер хостинга или FTP. Проверьте часовой пояс: многие серверы показывают UTC. Даты дают подсказку, но не гарантируют точное время установки.
Загляните в журнал действий, если он у вас есть, в логи хостинга и письма об автоматических обновлениях на адрес администратора WordPress. Сам WordPress дату «установлено тогда-то» не показывает.
Если Rank Math прислал письмо о зараженной загрузке, выполните его инструкции, даже если у вас уже другая версия. Подлинность письма проверяйте через прямой вход на rankmath.com, а не по ссылкам внутри него.

Rank Math выделяет три случая. Установили зараженную копию и активировали? Считайте сайт взломанным, нужна полная очистка. Установили, но ни разу не активировали? Удалите файлы плагина, поставьте 3.0.124 из аккаунта Rank Math и запустите сканирование. Скачали, но не установили? Само по себе это не говорит о взломе. Не можете понять, какой случай ваш, - спросите поддержку Rank Math или действуйте так, будто сайт затронут.

Если зараженная копия работала - сначала восстановление

Я бы пошел путем, который советует Rank Math: восстановил и файлы сайта, и базу данных из бэкапа, сделанного до 15 октября 2026 года, 20:02 UTC. Потом запустил проверку безопасности - Rank Math предлагает Wordfence или Sucuri, - сменил доступы и только после этого поставил 3.0.124 из аккаунта Rank Math.

Зачем столько возни? После активации вредоносный код мог связаться с rank1cdn.com, создать чужие аккаунты администраторов и оставить постоянный доступ. Скрытый бэкдор мог восстанавливаться при посещении сайта. Могли остаться лишние файлы, задачи по расписанию и изменения на уровне сервера. Апдейт Rank Math заменяет только файлы плагина. Остальное он не откатит. Аккуратный список плагинов - еще не доказательство чистоты сайта.

Восстанавливаете сайт через UpdraftPlus? Сначала обновите его до 1.26.11 или новее. В этом выпуске исправили уязвимости, связанные с восстановлением. Если можете, сохраните логи и копию взломанного сайта для расследования - но не затягивайте из-за этого восстановление.

При ручной очистке важен порядок

Нет бэкапа до опасного окна? Лучше позвать специалиста. Бэкдор может возвращаться при загрузке страниц, и поиски отдельных файлов до устранения причины съедят полдня впустую. Общий порядок разбора мы описали в статье что делать после взлома WordPress.

Сначала сделайте все три вещи: удалите папку rank-math-pro целиком - отключить плагин мало. Удалите из wp_options строки, где option_name равен _uf6qdn2hmm, t8krdk990phb или _np5pvf754c. Попросите хостинг заблокировать исходящие соединения с rank1cdn.com, если это возможно.
Потом ищите следы: проверьте неизвестных администраторов с именами, начинающимися на wpsupport_, или почтой на @wp-mail.net. Поможет wp user list --role=administrator. Ищите wp-includes/class-wp-cache-util.php - Rank Math говорит, что такого файла в ядре нет. Удалите его, проверьте ядро командой wp core verify-checksums и переустановите ядро из официального источника.
Проверьте подозрительный PHP в wp-content/mu-plugins/, папках других плагинов, каталогах inc/, includes/ и lib/ сторонних тем, в includes/ Rank Math и в uploads/. PHP в uploads - особенно тревожный знак. Попросите разработчика проверить код с base64_decode и XOR-циклами, xmmqhn, proc_open или обращениями к сокету PHP-FPM.
Просмотрите правила .htaccess в корне и подпапках: нет ли разрешения запускать файлы .cache как PHP? Проверьте и сами .cache на PHP-код. Поищите системные cron-задачи с меткой #ms6v46, а события WordPress выведите через wp cron event list. Попросите хостинг проверить SSH authorized_keys, crontab других пользователей и запущенные процессы, особенно если хостинг общий.

Это зацепки, а не безошибочный тест. Если ничего из списка не нашлось, сайт еще не обязательно чист.

Смените доступы даже после восстановления

Исходите из того что все секреты, до которых сайт мог добраться, могли утечь. Rank Math советует сменить их и после отката на старый бэкап:

Все пароли WordPress, а также логин и пароль базы данных в wp-config.php.
Ключи безопасности и соли WordPress в wp-config.php; отдельно проверьте и заново настройте двухфакторную защиту администраторов.
Ключи платежного шлюза, доступы SMTP, ключи API и другие секреты в настройках, конфигурационных файлах и переменных окружения.
Доступы к панели хостинга, FTP/SFTP и SSH.

Затем проверьте сайт еще раз. Выполните wp core verify-checksums и wp plugin verify-checksums --all. Но учтите: проверка контрольных сумм может не охватывать платные плагины - сравните их с чистыми копиями от разработчиков. Несколько дней следите за исходящими соединениями. Если удаленные файлы появились снова, очистка не закончена.

Почему новые проверки WordPress.org это пропустили

С июня 2026 года WordPress.org задерживает каждый новый выпуск плагина и темы перед публикацией - сейчас на шесть часов - и сканирует его моделями ИИ и Jetpack Scan. С 9 сентября выпуски с высоким риском автоматически блокируют. Подробнее мы писали о том, как WordPress проверяет обновления плагинов до выпуска.

Но эти проверки касаются только того, что распространяет WordPress.org. Rank Math PRO обновляется с серверов разработчика - вне этой системы, как и многие платные плагины и темы. Вот неприятный момент: правило файрвола не остановило бы скачивание зараженной копии у самого разработчика. Patchstack прямо на это указывает.

Для сайта, от которого зависит работа бизнеса, я бы держал ежедневные бэкапы вне сервера с возможностью восстановиться на конкретную дату и журнал действий. А еще подумал бы о задержке автообновлений платных плагинов на сутки. Но иногда исправление дыры нужно срочно, так что универсальным правилом я бы это не делал. Тут приходится выбирать.

Что сделать сегодня

Если зараженная копия была активна, наша услуга очистки взломанного WordPress-сайта поможет с восстановлением. А для регулярных бэкапов, обновлений и наблюдения за сайтом есть обслуживание WordPress от 39 € в месяц.

Прямо сейчас откройте «Плагины». Проверьте версию Rank Math PRO, а затем - когда на сервер попали файлы в rank-math-pro. Именно вторая проверка подскажет, что делать дальше.

Вредоносный код в Rank Math PRO 3.0.123: как проверить сайт