Rank Math PRO: Versão Contaminada com Backdoor

versão paga do plugin de SEO para WordPress foi distribuída com malware entre 15 e 16 de outubro

Version PRO do Rank Math, o plugin pago de otimização para mecanismos de busca (SEO) voltado ao WordPress, teve cópias contaminadas por malware distribuídas durante uma janela de cerca de 11 horas, entre 20:02 UTC de 15 de outubro e 07:12 UTC de 16 de outubro. A informação consta de um aviso de segurança publicado pela própria Rank Math em 16 de outubro: pacotes baixados de rankmath.com ou entregues como atualização dentro desse intervalo continham código malicioso, e qualquer site que tenha instalado e ativado um deles deve ser tratado como comprometido, porque a porta dos fundos implantada pelo malware se recria sempre que alguém visita a página.

O que já se sabe

Ao contrário do que a numeração sugere, o número da versão não permite identificar uma cópia afetada. O changelog da Rank Math data a 3.0.123 de 7 de outubro, mais de uma semana antes do início da janela, e o aviso limita o incidente às cópias instaladas por atualização dentro do período. Quem obteve a 3.0.123 antes das 20:02 UTC de 15 de outubro ficou de fora. A companhia removeu os arquivos afetados e liberou a versão limpa 3.0.124.

Segundo o advisory da Wordfence de 17 de outubro, instalar a 3.0.124 substitui o plugin, mas não apaga arquivos, contas administrativas ou tarefas agendadas que o malware já tenha deixado em outros pontos do servidor. A Patchstack classifica o caso como uma backdoor e observa que, como o ataque atingiu os próprios sistemas da Rank Math, não é possível definir uma regra de mitigação. O incidente recebeu a identificação CVE-2026-111862 e nota 9,8 de 10 na avaliação da Wordfence, com o autor do código não identificado.

Como deve ser feita a recuperação

A recomendação principal da Rank Math é a restauração de backup. Quando existe um backup do site e do banco de dados anterior às 20:02 UTC de 15 de outubro, a orientação é restaurar, rodar um exame de segurança, trocar todas as senhas e credenciais e, somente então, instalar a 3.0.124 pela conta do cliente em rankmath.com.

Na ausência de um backup limpo, a limpeza manual segue uma ordem fixa. A busca por alterações estende-se a arquivos PHP deixados em pasturas de outros plugins, em pasturas de temas, no diretório de must-use plugins, a um falso arquivo de núcleo do WordPress, a uma modificação no .htaccess que faz arquivos .cache serem executados como PHP, a tarefas agendadas e a chaves SSH. A ausência desses artefatos não prova, por si só, que o site está limpo, alerta a Wordfence.

A troca de credenciais é feita em todos os cenários, inclusive após a restauração: senhas do WordPress, usuário e senha do banco de dados em wp-config.php, chaves e salts de segurança do mesmo arquivo, chaves de gateway de pagamento, de SMTP e de outras APIs, painel de hospedagem, acesso FTP, SFTP e SSH, segredos em variáveis de ambiente e autenticação em dois fatores dos administradores. A limpeza termina com um exame de segurança e a verificação de integridade do núcleo e dos plugins.

O texto da Rank Math, que integra o grupo sueco group.one, não explica como os arquivos maliciosos entraram no sistema de download e atualização, quantos clientes os receberam, se atualizações automáticas os entregaram ou quais são os hashes dos pacotes limpos e contaminados. Registros mostram que o domínio rank1cdn[.]com, que a empresa pede aos donos de sites para bloquear, foi registrado às 19:31 UTC de 14 de outubro, cerca de um dia antes do início da janela. A empresa afirma estar tomando medidas para reduzir o risco de incidentes semelhantes.

Pelo menos o terceiro incidente do ano

Este é pelo menos o terceiro caso em 2026 em que o canal de atualização executado pelo próprio fornecedor de um plugin premium do WordPress entregou builds com backdoor. Em abril, o sistema da Nextend serviu uma versão contaminada do Smart Slider 3 Pro por cerca de seis horas. Em junho, plugins Pro da ShapedPlugin foram encontrados com backdoor no canal de atualização, e um pacote que havia saído limpo foi depois adulterado sob o mesmo número de versão. Scripts servidos pelo CDN da Awesome Motive também foram alterados em junho e o feed de API da BdThemes foi envenenado em agosto, sem que publicação alguma ligue os responsáveis por esses ataques a este incidente.

Fonte: The Hacker News