Kártékony kód került a Rank Math PRO 3.0.123 egyes csomagjaiba
A bővítmény aktiválása után a támadók akár átvehették az érintett weboldalak irányítását a Rank Math közlése szerint. A WordPress keresőoptimalizáló bővítményének egyes letölthető csomagjaiba kártékony kód került; az érintett időszakban telepített és bekapcsolt példányoknál a gyártó tiszta mentés visszaállítását javasolja.
A letöltés időpontja is számít
A Rank Math PRO 3.0.123 egyes csomagjai tartalmazták a kártevőt. Azok a telepítések lehetnek érintettek, amelyekhez 2026. október 15. 20:02 UTC és október 16. 07:12 UTC között töltötték le a bővítményt, vagy ebben az időszakban frissítettek erre a változatra.
A Rank Math szerint eltávolították a fertőzött fájlokat, és kiadták a tiszta 3.0.124-es verziót. A közlés külön kezeli azokat a webhelyeket, ahol a problémás kiadást az érintett időablakban nemcsak telepítették, hanem aktiválták is: ezeket kompromittáltnak kell tekinteni, vagyis úgy kell kezelni, hogy illetéktelenek férhettek hozzájuk.
A hátsó ajtó oldalbetöltéskor újra létrejöhet
A kártevő tartós hozzáférést biztosíthatott a támadóknak, és hozzáférési adatokat, API-kulcsokat, illetve más titkos adatokat is veszélyeztethetett. A Rank Math szerint minden oldallátogatáskor újra létrehozhat egy rejtett hátsó ajtót, ami megnehezíti a kézi megtisztítást.
A fertőzés hamis WordPress-alapfájlokat helyezhet el, más bővítményeket és sablonokat módosíthat, valamint további állományokat tölthet fel. A .htaccess fájlok átírásával azt is lehetővé teheti, hogy a .cache kiterjesztésű állományok PHP-kódként fussanak. Emellett ütemezett feladatokat is létrehozhat.
A tiszta mentés visszaállítása az elsőként javasolt megoldás
A gyártó azt javasolja, hogy az érintett időszakban telepített és aktivált példányok használói az incidens előtti, tiszta biztonsági mentésből állítsák vissza a webhelyet.
Ha ilyen mentés nem áll rendelkezésre, a közlés kézi eltávolítási lépéseket sorol fel. Ezek között szerepel a Rank Math PRO mappájának törlése, a rosszindulatú adatbázis-bejegyzés eltávolítása és a támadó rank1cdn[.]com domainjének blokkolása. A gyanús PHP-fájlokat és az ismeretlen rendszergazdai fiókokat is meg kell keresni és el kell távolítani.
Az ellenőrzés nem ér véget a WordPress könyvtáránál
A támadók a WordPress telepítési könyvtárán kívül is módosíthattak fájlokat. A forrás ezért az SSH authorized_keys állományainak, más rendszerfelhasználók ütemezett feladatainak és a gyanús folyamatoknak az átvizsgálását is javasolja. Azokat a további helyeket is ellenőrizni kell, ahová a webszervert futtató felhasználó írhat.
A közlés sorrendet is megad: előbb meg kell győződni arról, hogy a webhely tiszta. Ezután következhet az összes jelszó cseréje és a Rank Math PRO tiszta kiadásának telepítése.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum