Rank Math SEO PRO 3.0.123 部分下载包被植入恶意代码，3.0.124 提供干净替换

Rank Math 已披露，部分 Rank Math SEO PRO 版本 3.0.123 的副本包含恶意软件。据 Rank Math 表示，在 October 15, 2026 at 20:02 UTC 至 October 16, 2026 at 07:12 UTC 之间通过更新下载或安装的副本受到影响。

如果您网站上已启用受影响的 Rank Math SEO PRO 3.0.123 副本，应将网站视为已被攻陷。仅仅更新插件并不足够，因为该恶意软件可能已在服务器上的其他位置放置了额外文件、管理员账户或计划任务。

Rank Math 已移除受影响文件，并发布版本 3.0.124 作为无污染的替代版本。仅有版本 3.0.123 并不能证明网站已被攻陷：Rank Math 将此次事件的范围限定为在上述时间段内下载或更新至受影响版本的用户。

网站所有者应检查版本 3.0.123 的下载或安装时间，遵循以下恢复指南，并将 Rank Math 的安全通知作为有关此次事件更新的权威来源。

来自 Wordfence Intelligence 的漏洞摘要

Rank Math SEO PRO 3.0.123 - 未认证嵌入式恶意代码

9.8

CVSS 评分
9.8（严重）

CVE-ID
CVE-2026-111862

受影响版本
3.0.123

已修补版本
3.0.124

受影响软件

Rank Math SEO PRO [seo-by-rank-math-pro]

研究人员： Unknown

Rank Math SEO PRO for WordPress 受到供应链入侵影响，部分版本 3.0.123 安装包在 October 15, 2026 at 20:02 UTC 至 October 16, 2026 at 07:12 UTC 之间被下载或更新。Rank Math 表示，受影响的插件文件包含恶意软件；如果启用该插件，网站可能会被攻陷，并指示已启用受影响安装包的网站将网站视为已被攻陷。该恶意软件可能会建立持久访问权限、与 rank1cdn[.]com 通信、在访问页面时重新创建隐藏后门，并暴露 Web 服务器可访问的 WordPress 凭据、数据库凭据、API 密钥及其他机密信息。Rank Math 将三个恶意 wp_options 键、隐藏的 PHP 后门、未授权的管理员账户、伪造的 WordPress 核心文件、可由 PHP 执行的 .cache 文件以及系统 cron 标记列为事件指标。仅声称在厂商确认的时间窗口内获取的安装包受到影响；仅凭版本 3.0.123 不足以认定网站已被攻陷。Rank Math 已移除受影响文件，并发布版本 3.0.124 作为无污染的替代版本。

更多详细信息 >

哪些人会受到影响？

如果您的网站在以下时间段内下载或更新至 Rank Math SEO PRO 3.0.123，则可能受到影响：

开始时间：October 15, 2026 at 20:02 UTC
结束时间：October 16, 2026 at 07:12 UTC

Rank Math 提供以下指南：

如果您安装并启用了受影响版本 3.0.123 的副本，请将网站视为已被攻陷，并完成全面恢复。
如果您安装了版本 3.0.123，但从未启用，请删除受影响的插件文件，从您的 Rank Math 账户安装版本 3.0.124，并运行安全扫描。
如果你下载了 3.0.123 版本，但从未安装或激活，Rank Math 表示，仅凭此次事件无法判断你的网站是否遭到入侵。

Rank Math 表示，其记录能够识别下载受影响副本的用户。如果 Rank Math 通知过你，请遵循其恢复说明，即使你的网站目前运行的是其他版本。

网站所有者现在应该采取的措施

如果激活过受影响的副本，Rank Math 建议恢复网站及其数据库，备份须是在 2026 年 10 月 15 日 20:02 UTC 之前创建且未受污染的。恢复备份后，扫描网站，更改网站可能访问的密码及其他敏感凭据，然后直接从你的 Rank Math 账户安装 Rank Math SEO PRO 3.0.124。

如果没有合适的备份，Rank Math 建议手动清理网站。如果你不熟悉网站文件、数据库和服务器设置，这项工作应由经验丰富的安全专业人员或托管服务商完成。

在删除其他可疑文件之前，请完成以下步骤，防止有人访问网站时恶意软件重新创建其隐藏后门：

删除整个 rank-math-pro 插件文件夹。仅停用插件并不足以消除威胁。
删除 WordPress wp_options 数据库表中的所有记录，其中 option_name 为 _uf6qdn2hmm、t8krdk990phb 或 _np5pvf754c。
如果你的托管服务商或防火墙支持，请阻止对 rank1cdn[.]com 的传出连接。

禁用恶意软件重新创建的机制后，检查网站和服务器其余部分是否存在下列迹象。在适当的情况下，从可信来源重新安装 WordPress、插件和主题。

即使网站已从备份恢复，更改密码仍然至关重要。Rank Math 建议更换 WordPress 密码、数据库凭据、WordPress 安全密钥和盐值、支付及邮件服务凭据、API 密钥、托管控制面板凭据，以及网站可能访问的 FTP、SFTP 或 SSH 凭据。同时还应检查管理员账户的双重身份验证设置。

恶意软件能做什么

Rank Math 表示，受影响的插件文件中包含恶意软件，当插件被激活时可能危及网站。该公司警告称，恶意软件能在网站被访问时重新创建隐藏后门，攻击者还可能留下额外文件、未经授权的管理员账户、计划任务或服务器层面的更改。

Rank Math 建议网站所有者假定已入侵网站可访问的凭据和密钥可能已经泄露，包括 WordPress 密码、数据库凭据、API 密钥及其他存储的密钥。更新至 3.0.124 版本会替换受影响的 Rank Math 安装包，但不会删除恶意软件可能已经在其他地方创建的文件、账户或计划任务。

入侵指标

以下迹象来自 Rank Math 的安全通知。发现这些迹象后应进行调查；仅凭未发现这些迹象，并不能证明网站是干净的。

网络活动

对 rank1cdn[.]com 的传出连接

WordPress 数据库

wp_options 表中名为 _uf6qdn2hmm 的记录
wp_options 表中名为 t8krdk990phb 的记录
wp_options 表中名为 _np5pvf754c 的记录

管理员账户

以 wpsupport_ 开头的未知管理员用户名
使用以 @wp-mail[.]net 结尾的电子邮件地址的未知账户

文件和服务器更改

wp-includes/class-wp-cache-util.php。Rank Math 表示，这不是合法的 WordPress 核心文件。
位于意外位置（包括 wp-content/mu-plugins/）、属于其他插件的文件夹、非默认主题的 inc/、includes/ 和 lib/ 文件夹，以及 Rank Math includes/ 文件夹中的 PHP 文件。
包含带有 XOR 循环、密钥 xmmqhn、proc_open 或 PHP-FPM socket 代码的 base64_decode 的可疑 PHP 代码。
根目录或子目录中的 .htaccess 文件所含规则允许 .cache 文件作为 PHP 运行。
包含 PHP 代码的 .cache 文件。
属于 web 服务器用户的系统计划任务，其中包含标记 #ms6v46。
WordPress uploads 目录中的意外 PHP 文件。

Rank Math 还建议检查 WordPress 计划事件、SSH 授权密钥、其他系统用户的计划任务、正在运行的进程，以及网站目录之外 web 服务器可写入的位置。

清理后如何验证网站

恢复后，运行完整的安全扫描，并继续监控网站是否出现异常行为。Rank Math 特别建议使用以下命令检查 WordPress 核心文件：

wp core verify-checksums

可以使用以下命令检查插件文件：

wp plugin verify-checksums --all

并非每个高级插件都提供校验和，因此请将这些文件与直接从开发者处下载的干净副本进行比较。监控传出连接，并确认已删除的文件没有再次出现。如果可疑文件重新出现，则说明清理尚未完成。

直接访问 rankmath.com 并登录你的账户，即可下载 Rank Math SEO PRO 3.0.124。Rank Math 表示不会通过电子邮件发送登录或下载链接，因此请将包含这些链接的意外消息视为可疑消息。

时间线

2026 年 10 月 15 日 20:02 UTC：受影响的下载和更新时段开始。
2026 年 10 月 16 日 07:12 UTC：受影响的时段结束。
2026 年 10 月 16 日：Rank Math 发布安全通知，并指示受影响用户在完成相应的恢复步骤后安装干净版本 3.0.124。

结论

Rank Math 表示，此事件仅影响了在特定时段内下载或更新至 Rank Math SEO PRO 3.0.123 的少数用户。仅凭使用 3.0.123 版本并不能证明网站已被入侵。但是，任何曾运行受影响副本的网站都应视为已遭入侵。

如果你的网站可能受到影响，首先确定获取 3.0.123 版本的时间。如果曾运行受影响的副本，请尽可能使用事件发生前创建的干净备份恢复网站和数据库。如果没有合适的备份，请按照 Rank Math 手动清理步骤中规定的顺序操作。无论采用哪种方式，都要替换已暴露的凭据和其他机密信息，安装干净版本 3.0.124，扫描整个网站和服务器，并监控恶意软件是否再次出现的迹象。

Wordfence Care 和 Wordfence Response 客户可以联系我们的团队，以获取调查和清理遭入侵网站的帮助。我们的事件响应团队能够识别和移除恶意软件、帮助确定感染原因，并协助完成恢复流程。详细了解 Wordfence Care 和 Wordfence Response。

文章《PSA: Malware Found in Some Rank Math SEO PRO 3.0.123 Downloads》最初发布于 Wordfence。