A Rank Math confirmou que algumas cópias do plugin Rank Math SEO PRO, na versão 3.0.123, foram distribuídas com malware embutido. Segundo a empresa, o problema atingiu downloads e atualizações realizados entre 15 de outubro de 2026, às 20h02 UTC, e 16 de outubro de 2026, às 07h12 UTC. O caso expõe um risco recorrente em plugins WordPress: a chamada falha de segurança por comprometimento na cadeia de distribuição do software, em que o próprio arquivo oficial do plugin passa a carregar código malicioso.
De acordo com a Rank Math, se uma cópia afetada da versão 3.0.123 chegou a ser ativada em algum site, o ambiente deve ser tratado como comprometido. Apenas atualizar o plugin não resolve, pois o malware pode ter criado arquivos adicionais, contas de administrador não autorizadas ou tarefas agendadas em outros pontos do servidor, fora do próprio plugin.
O que gerou o alerta de malware no plugin WordPress
A empresa removeu os arquivos comprometidos e lançou a versão 3.0.124 como substituta limpa. Vale destacar que ter a versão 3.0.123 instalada não comprova, por si só, que o site foi invadido: a Rank Math limita o incidente apenas aos usuários que baixaram ou atualizaram para a versão afetada dentro da janela de tempo informada.
Por isso, donos de sites precisam verificar quando a versão 3.0.123 foi baixada ou instalada, seguir as orientações de recuperação detalhadas pela empresa e acompanhar o comunicado oficial de segurança da Rank Math como fonte principal de atualizações sobre o caso.
A Wordfence Intelligence classificou a vulnerabilidade como crítica, com nota 9.8 em uma escala de 10, sob o identificador CVE-2026-111862. O problema afeta exclusivamente a versão 3.0.123 do Rank Math SEO PRO, já corrigida na versão 3.0.124. Conforme o registro técnico, o malware pode estabelecer acesso persistente, se comunicar com o domínio rank1cdn[.]com, recriar backdoors ocultos a cada visita à página e expor credenciais do WordPress, do banco de dados, chaves de API e outros dados sensíveis acessíveis pelo servidor web.
Como indicadores do incidente, foram identificadas três chaves maliciosas na tabela wp_options, backdoors em PHP escondidos, contas de administrador não autorizadas, um arquivo falso disfarçado de núcleo do WordPress, arquivos .cache executáveis em PHP e uma marcação específica em tarefas de cron do sistema.
Quem foi atingido pelo malware no Rank Math SEO PRO
O site pode estar em risco caso tenha baixado ou atualizado o Rank Math SEO PRO 3.0.123 dentro do seguinte período:
- Início: 15 de outubro de 2026, às 20h02 UTC
- Fim: 16 de outubro de 2026, às 07h12 UTC
A Rank Math orienta a seguir recomendações diferentes conforme a situação de cada site:
- Se a versão 3.0.123 afetada foi instalada e ativada, o site deve ser tratado como comprometido e passar por um processo completo de recuperação.
- Se a versão 3.0.123 foi instalada, mas nunca ativada, é preciso excluir os arquivos do plugin afetado, instalar a versão 3.0.124 a partir da conta oficial na Rank Math e rodar uma varredura de segurança.
- Se a versão 3.0.123 apenas foi baixada, sem instalação ou ativação, a Rank Math afirma que não há, isoladamente, indício de comprometimento do site.
A empresa diz manter registros que identificam quem baixou uma cópia afetada. Assim, caso o usuário tenha sido notificado diretamente pela Rank Math, as instruções de recuperação devem ser seguidas mesmo que o site já esteja rodando uma versão mais recente do plugin.
Passos recomendados após o malware no plugin WordPress
Quando uma cópia comprometida foi ativada, a Rank Math recomenda restaurar o site e o banco de dados a partir de um backup limpo, criado antes de 15 de outubro de 2026, às 20h02 UTC. Depois da restauração, é necessário escanear o site, trocar senhas e demais credenciais sensíveis às quais o site tinha acesso e só então instalar a versão 3.0.124 do Rank Math SEO PRO diretamente pela conta oficial.
Caso não exista um backup adequado, a orientação é realizar a limpeza manual do site. Esse trabalho, segundo a recomendação, deve ser conduzido por um profissional de segurança experiente ou pelo provedor de hospedagem, especialmente para quem não tem familiaridade com arquivos do site, banco de dados e configurações de servidor.
Antes de remover outros arquivos suspeitos, é preciso seguir estas etapas para impedir que o malware recrie seu backdoor oculto a cada nova visita ao site:
- Excluir completamente a pasta do plugin rank-math-pro. Apenas desativar o plugin não é suficiente.
- Apagar qualquer registro na tabela wp_options do WordPress cujo option_name seja _uf6qdn2hmm, t8krdk990phb ou _np5pvf754c.
- Bloquear conexões externas para rank1cdn[.]com, caso o provedor de hospedagem ou o firewall utilizado permita esse tipo de bloqueio.
Depois de desativar o mecanismo responsável por recriar o malware, deve-se verificar o restante do site e do servidor em busca dos sinais listados mais adiante, reinstalando WordPress, plugins e temas a partir de fontes confiáveis sempre que necessário.
Credenciais expostas e sinais de comprometimento
Trocar senhas é indispensável, mesmo quando o site é restaurado a partir de um backup. A recomendação inclui substituir senhas do WordPress, credenciais de banco de dados, chaves e salts de segurança do WordPress, credenciais de serviços de pagamento e e-mail, chaves de API, credenciais de painel de hospedagem e acessos via FTP, SFTP ou SSH que possam ter sido acessíveis ao site. As configurações de autenticação em dois fatores para contas de administrador também devem ser revisadas.
A Rank Math afirma que os arquivos do plugin afetado continham malware capaz de comprometer um site assim que o plugin fosse ativado, com capacidade de recriar backdoors ocultos a cada visita e de deixar para trás arquivos adicionais, contas de administrador não autorizadas, tarefas agendadas ou alterações em nível de servidor.
Entre os indicadores de comprometimento listados estão conexões de saída para rank1cdn[.]com; entradas na tabela wp_options com os nomes _uf6qdn2hmm, t8krdk990phb e _np5pvf754c; contas de administrador com nomes de usuário desconhecidos começando com wpsupport_ ou vinculadas a e-mails terminados em @wp-mail[.]net; o arquivo wp-includes/class-wp-cache-util.php, apontado como falso núcleo do WordPress; arquivos PHP em locais inesperados, como a pasta mu-plugins, diretórios de outros plugins, pastas inc/, includes/ e lib/ de temas não padrão, além da pasta includes/ do próprio Rank Math; código PHP suspeito contendo base64_decode com loops XOR, a chave xmmqhn, proc_open ou código de socket PHP-FPM; regras em arquivos .htaccess que permitem a execução de arquivos .cache como PHP; arquivos .cache com código PHP; tarefas agendadas do usuário do servidor web contendo a marcação #ms6v46; e arquivos PHP inesperados dentro do diretório de uploads do WordPress.
Também é recomendada a revisão de eventos agendados do WordPress, chaves autorizadas de SSH, tarefas agendadas de outros usuários do sistema, processos em execução e locais fora do diretório do site onde o servidor web tenha permissão de escrita.
Diante da gravidade do incidente, administradores de sites que utilizam o Rank Math SEO PRO devem checar imediatamente o histórico de downloads e atualizações do plugin, confirmar se a instalação coincide com a janela de tempo informada e adotar sem demora as medidas de recuperação indicadas, já que a simples atualização para uma versão corrigida não elimina vestígios deixados pelo malware no servidor.
Com informações de wordfence.com.
