Złośliwa wersja Rank Math SEO PRO. Dlaczego aktualizacja WordPressa może nie wystarczyć?
Wtyczka pobrana z oficjalnego źródła nie zawsze musi być bezpieczna. Incydent związany z Rank Math SEO PRO dla WordPressa pokazał, jak złośliwy kod dostarczony w ramach aktualizacji może doprowadzić do przejęcia kontroli nad stroną i utrzymania dostępu przez ukryty backdoor.Problem nie kończy się jednak na instalacji czystej wersji wtyczki – administratorzy muszą również sprawdzić, czy atakujący nie pozostawili innych mechanizmów dostępu. Co się wydarzyło i jak zabezpieczyć swoją witrynę?
16 października Rank Math (producent popularnej wtyczki do WordPress, która wspiera pozycjonowanie stron www), opublikował komunikat o incydencie dotyczącym płatnej wtyczki Rank Math SEO PRO. Na stronie producenta możemy przeczytać, że niektóre kopie wersji 3.0.123 zawierały złośliwe oprogramowanie. Dotyczy to plików pobranych w okienku, które trwało w dniach 15/16 października 2026 r. od godziny 22:02 do godziny 9:02 następnego dnia, czasu polskiego. Producent ostrzega, że złośliwe oprogramowanie może ponownie tworzyć backdoor. Usunięcie podejrzanych plików i wgranie aktualizacji może nie być wystarczające do rozwiązania problemu.
Pobieranie wtyczek do WordPress lub ich aktualizacji nawet z oficjalnych źródeł nie zawsze oznacza pełne bezpieczeństwo.
Opisane w komunikacie zmiany obejmują tworzenie dodatkowych plików PHP, nieautoryzowanych kont administratorów, a nawet zmiany w konfiguracji serwera. Komunikat nie obejmuje jednak bezpłatnej wersji Rank Math SEO, której ostatnia wersja to 1.0.280.
Złośliwa wtyczka miała zadziałać w kilku przypadkach:
– pobranie, zainstalowanie i włączenie wtyczki
– pobranie, zainstalowanie i niewłączenie wtyczki
A co w przypadku pobrania i niezainstalowania wtyczki? Rank Math sugeruje, aby prewencyjnie podjąć takie same działania jak w przypadku jej instalacji.
Administruję stroną na WordPress. Co robić?
Sprawdź, czy masz płatną wersję Rank Math.
- Jeśli aktualizujesz wtyczki po nocach, to sprawdź w logach, czy dokonałeś aktualizacji wersji 3.0.123 w nocy z 15 na 16 października. Zainfekowane kopie były dostępne od godz. 22:02 do 9:02 naszego czasu.
- Odtwórz backup sprzed incydentu i zaktualizuj wtyczkę do 3.0.124.
- Zmień poświadczenia i klucze dostępne dla strony.
Ale ja nie mam backupów, co teraz?
To już większy problem i więcej pracy. Należy usunąć całą zawartość wtyczki i złośliwą bazę danych oraz zablokować połączenia do domeny rank1cdn.com, z której odtwarza się malware.
W kolejnych krokach należy:
- odnaleźć i usunąć bazy danych stworzone przez malware
- sprawdzić, czy zostały dodane nieautoryzowane konta administracyjne
- zweryfikować, czy .htaccess prawidłowo blokuje dostęp do plików
- przejrzeć zadania cron-a, czy nie ma tam podejrzanych działań
- usunąć i ponownie zainstalować wszystkie pozostałe wtyczki
- sprawdzić pozostałe procesy i środowiska, do których serwer www się odwołuje
A następnie… przejść do jeszcze kolejnych kroków! Dokładna instrukcja przygotowana przez Rank Math jest TUTAJ.
Można więc szybko odnieść wrażenie, że backup znacznie ułatwia odtworzenie bezpiecznego środowiska.
Backup dla WordPress składa się z dwóch podstawowych elementów, które musisz zabezpieczyć:
1. Pliki strony – motyw, wtyczki, zdjęcia, dokumenty czyli całą zawartość wp-content.
2. Baza danych – wpisy, ustawienia, konta i dane zapisane przez wtyczki.
Zbuduj harmonogram kopii zapasowych np. baza danych – codziennie, pliki strony – raz w tygodniu, pełny backup – przed każdą większą zmianą. Backup możesz przeprowadzić za pomocą wtyczek (ale z tymi ostrożnie), sprawdzić czy twój hostingodawca oferuje taką usługę lub wykonać ją samodzielnie i trzymać w innej chmurze lub lokalnie (to najbezpieczniejsza z opcji).
Warto przechwywać kilka wersji backupów i przede wszystkim przetestować odtwarzanie.
