Rank Mathは、Rank Math PRO バージョン3.0.123を通じてマルウェアが配布されたセキュリティインシデントを公表しました。汚染されたプラグインを有効化したWordPressサイトは、侵害されたものとして扱うよう管理者に警告しています。
Rank Mathによると、悪意のあるファイルは、2026年10月15日20:02（UTC）から10月16日7:12（UTC）の間にプレミアムプラグインをダウンロードした一部のユーザーに届きました。同社は影響を受けたファイルを削除し、クリーンなバージョン3.0.124をリリースしています。
WordPress[.]orgで配布されている無償のRank Math SEOプラグインは影響を受けません。なお、公表された情報では、攻撃者が誰なのか、悪意のあるファイルが配布プロセスにどのように入り込んだのかは明らかにされていません。
このマルウェアは永続化の仕組みを備えているため、復旧はプラグインを無効化または更新するだけでは済まず、より複雑になります。
Rank Mathは、感染したサイトにアクセスするだけで、隠されたバックドアが再生成される可能性があると警告しています。これを防ぐには、管理者がまず原因となるコンポーネントを削除する必要があります。
手動でのクリーンアップは、rank-math-proディレクトリ全体を削除し、WordPressのoptionsテーブルから悪意のあるエントリを取り除くことから始めます。確認されているオプション名は、_uf6qdn2hmm、t8krdk990phb、_np5pvf754cです。管理者は、可能であればrank1cdn.comへの外向きの通信もブロックすべきです。
調査担当者は、Must-Useプラグインを調べるとともに、他のプラグインのディレクトリ、テーマのサブディレクトリ、Rank Mathのincludesディレクトリに不審なPHPがないかを確認する必要があります。報告されている痕跡には、XORループと組み合わせたbase64_decode、キーxmmqhn、proc_open、PHP-FPMソケットのコードが含まれます。
そのほかの侵害の痕跡として、wpsupport_で始まる管理者ユーザー名、@wp-mail[.]netで終わるメールアドレス、偽のコアファイルwp-includes/class-wp-cache-util.phpが挙げられています。
アドバイザリーはさらに、.cacheファイルをPHPとして実行させる.htaccessのルール、#ms6v46という印が付いた悪意のあるスケジュールタスク、uploadsディレクトリ内の予期しないPHPファイルにも注意を促しています。
Rank Mathは、10月15日20:02（UTC）より前に作成したクリーンなバックアップから、サイトのファイルとデータベースを復元するよう推奨しています。
適切なバックアップがないサイトでは、包括的な手動調査が必要です。調査範囲はWordPressにとどまらず、SSHの認可キー、システムのcrontab、実行中のプロセス、書き込み可能なサーバーディレクトリにまで及ぶ可能性があります。
管理者は、侵害されたサイトからアクセスできたシークレットが漏えいした可能性があると想定すべきです。ただし、アドバイザリーは、影響を受けたすべての環境で認証情報の窃取が確認されたとは断定していません。
必要な対策として、WordPressのパスワード、データベースの認証情報、セキュリティキーとソルト、決済ゲートウェイのキー、SMTPの認証情報、APIトークン、ホスティングやサーバーへのアクセス認証情報をすべて入れ替える必要があります。管理者の二要素認証の設定も見直してください。
クリーンアップ後は、セキュリティスキャンの実行、WordPressコアのチェックサムの検証、プレミアムプラグインと公式のクリーンなコピーとの比較を行うべきです。ファイルが再び現れていないか、不審な外向き通信がないかの監視も続けてください。
影響を受けたユーザーは、これらを済ませてからはじめて、Rank Mathのアカウントからバージョン3.0.124をインストールしてください。汚染されたプラグインを一度も有効化していないユーザーは、そのプラグインを削除し、サイトをスキャンしてください。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームでの導入を検討する
翻訳元: https://cyberpress.org/rank-math-pro-wordpress-plugin-hacked/
