Rank Math PRO distribuiva una backdoor: aggiornare non basta

Tra le 20:02 UTC del 15 ottobre e le 07:12 UTC del 16 ottobre 2026, alcuni pacchetti ufficiali di Rank Math PRO 3.0.123 contenevano malware capace di creare accessi nascosti nei siti WordPress dopo l’attivazione, secondo la ricostruzione di BleepingComputer. Erano coinvolti download e aggiornamenti del plugin PRO distribuiti dal canale del produttore: anche chi ha usato un pacchetto ufficiale deve controllare quando lo ha ottenuto.

La scheda di Wordfence registra l’incidente come CVE-2026-111862, con punteggio CVSS 9,8, e indica la versione 3.0.124 come sostituzione pulita. Per un sito che ha attivato una copia contaminata, l’aggiornamento sostituisce il plugin ma può lasciare intatti accessi creati altrove: servono ripristino o bonifica completa e rotazione delle credenziali.

Versione, ora e attivazione: chi è coinvolto

La versione installata oggi non racconta da sola che cosa sia passato dal sito. Occorre ricostruire quando Rank Math PRO 3.0.123 è stato scaricato o ricevuto tramite aggiornamento e se quella copia è stata attivata. Per chi legge i registri in ora italiana, la finestra corrisponde alle 22:02 del 15 ottobre e alle 09:12 del 16 ottobre, con l’ora legale allora in vigore.

1. Chi usa soltanto Rank Math SEO gratuito distribuito tramite WordPress.org è fuori dall’ambito di questo incidente. La verifica riguarda Rank Math PRO.
2. La sola presenza della versione 3.0.123 non prova che il pacchetto sia contaminato: conta il momento in cui quella copia è stata ottenuta. Anche se il pannello mostra già 3.0.124, bisogna ricostruire la versione e l’orario precedenti.
3. Se il pacchetto della finestra è stato soltanto scaricato, va scartato. Se è stato installato ma mai attivato, occorre eliminare i file interessati, installare la copia pulita ed eseguire una scansione.
4. Se una copia ottenuta nella finestra è stata attivata, il sito va trattato come compromesso anche quando il plugin è stato poi aggiornato o disattivato.

Le notifiche di aggiornamento, i registri delle attività e le date dei backup possono aiutare a ricostruire la sequenza. Se non permettono di escludere che la copia interessata sia stata eseguita, il percorso prudente è quello previsto per un sito compromesso; una scansione senza risultati non ricostruisce da sola la storia dell’installazione.

Perché la backdoor può restare dopo l’aggiornamento

Un aggiornamento sostituisce i file di Rank Math PRO, mentre il malware può aver lasciato file PHP nascosti, account amministratore o attività pianificate in altre parti del sito e del server. Il controllo della sola cartella del plugin, quindi, non basta a stabilire che l’accesso dell’attaccante sia stato rimosso. Lo stesso vale per la disattivazione: cambia lo stato del plugin, non cancella le modifiche che il codice può aver già compiuto.

La persistenza determina anche l’ordine della bonifica. Il malware può ricreare una backdoor nascosta quando qualcuno visita il sito; eliminare prima il file sospetto, lasciando attivo il meccanismo che lo rigenera, può produrre un risultato temporaneo. Per questo il recupero deve riguardare l’intera installazione e, quando necessario, l’ambiente del server.

Le tracce da cercare fuori dal plugin

L’avviso operativo di Rank Math avverte: «Deactivating the plugin alone is not sufficient». Nella tabella wp_options indica le voci sospette _uf6qdn2hmm, t8krdk990phb e _np5pvf754c; segnala inoltre connessioni in uscita verso rank1cdn[.]com, account amministratore con prefisso wpsupport_ o indirizzo che termina in @wp-mail[.]net, e il falso file di WordPress wp-includes/class-wp-cache-util.php.

La ricerca si estende a wp-content/mu-plugins/, alle cartelle di altri plugin, ai temi e ai file .htaccess che consentono di eseguire codice PHP da file .cache. Vanno controllati anche i processi pianificati, tra cui quelli con il marcatore #ms6v46, e le modifiche esterne alla directory WordPress, come chiavi SSH autorizzate o processi inattesi. Questi sono indicatori da valutare nel contesto del sito: non trovarli non dimostra che una copia contaminata e attivata non abbia lasciato altre modifiche.

Ripristinare il sito o fermare la persistenza

Per una copia contaminata che è stata attivata, il percorso raccomandato è ripristinare file e database da un backup creato prima dell’inizio della finestra a rischio. Il riferimento temporale va letto nel fuso orario corretto e il backup deve essere utilizzabile, come chiarisce anche la verifica del ripristino. Dopo il recupero occorrono una scansione e l’installazione della versione pulita scaricata dal proprio account Rank Math.

Se manca un backup idoneo, la bonifica manuale deve prima impedire alla backdoor di ricrearsi. Si elimina l’intera cartella rank-math-pro, si rimuove la voce malevola dal database e, se l’hosting o il firewall lo consentono, si bloccano le connessioni in uscita verso il dominio segnalato. Solo dopo si cercano e si rimuovono gli altri file, account e processi non autorizzati; dove l’amministratore non ha accesso al server, questa verifica richiede l’intervento del provider.

Cambiare i segreti esposti e verificare il recupero

Il ripristino riporta indietro file e database, ma non rende nuovamente segreti i dati che il malware poteva leggere mentre era attivo. Occorre sostituire le password degli account WordPress e dell’hosting, le credenziali del database, le chiavi API e i segreti dei servizi collegati accessibili dal sito. Vanno rigenerate anche le chiavi di sicurezza e i salt in wp-config.php, aggiornando le integrazioni che usavano i valori precedenti.

Il controllo successivo comprende una scansione, la verifica dei file di WordPress rispetto alle copie legittime e l’osservazione delle connessioni in uscita nei giorni seguenti. Se un file rimosso ricompare o si rileva nuova attività sospetta, il meccanismo di persistenza potrebbe essere ancora attivo: il sito richiede un’ulteriore indagine prima di tornare affidabile.

Leggi anche:

• Il backup 3-2-1 non basta se non provi davvero il ripristino
• RAG o fine-tuning: aggiornare i fatti non richiede sempre addestramento
• Backup anti-ransomware: immutabile non significa già ripristinabile