Rank Math PROのWordPressプラグイン、サプライチェーン攻撃で改ざん

WordPress向けSEOプラグイン「Rank Math PRO」がサプライチェーン攻撃を受けて改ざんされ、先週、悪意あるバージョンが利用者にダウンロードされました。

Rank Mathによると、バージョン3.0.123の一部のパッケージにマルウェアが含まれていました。プラグインを有効化すると、攻撃者にウェブサイトを乗っ取られる恐れがあります。

2026年10月15日20:02（UTC）から2026年10月16日07:12（UTC）までの間に、該当バージョンをダウンロードまたは更新したすべての利用者が感染した可能性があります。

Rank Mathは「影響を受けたファイルを直ちに削除し、クリーンなバージョンであるRank Math PRO v3.0.124を公開しました」と説明しています。

該当期間中にバージョン3.0.123をインストールして有効化した利用者は、ウェブサイトが侵害されたものとして扱う必要があります。インシデント発生前に作成したクリーンなバックアップから復元してください。

このマルウェアは、侵害したウェブサイトへの永続的なアクセスを攻撃者に与える可能性があります。認証情報やAPIキーなどの機密情報が流出する恐れもあります。

Rank Mathによると、このマルウェアはページにアクセスがあるたびに、隠しバックドアを再作成する可能性があります。この永続化の仕組みのため、手動でのクリーンアップは困難になるおそれがあります。

バックアップから復元できない場合は、次の対応が必要です。Rank Math PROのプラグインフォルダーを削除し、悪意あるデータベースエントリーを取り除きます。攻撃者のドメインrank1cdn[.]comをブロックし、不審なPHPファイルと身に覚えのない管理者アカウントを探して削除してください。

このマルウェアは、偽のWordPressコアファイルを設置することがあります。また、.htaccessファイルを改ざんして、.cacheファイルをPHPコードとして実行させるルールを追加します。PHPコードを含む.cacheファイルを置いたり、タスクやcronジョブを登録したりするほか、他のプラグインやテーマの改変、別ファイルのアップロードも行う可能性があります。

さらに、攻撃者はWordPressのインストール領域の外にも変更を加えられる可能性があります。サイト管理者は、SSHのauthorized_keysファイル、他のシステムユーザーのcrontab、不審なプロセス、ウェブサーバーのユーザーに書き込み権限のあるその他の場所も確認してください。

サイトがクリーンであることを確認した後、利用者はすべてのパスワードを変更し、クリーンなバージョンのRank Math PROをインストールしてください。