Компрометация Rank Math затронула платный SEO-плагин для WordPress: заражённую версию Rank Math PRO 3.0.123 можно было скачать с официального сайта с 15 октября 20:02 UTC до 16 октября 07:12 UTC. За эти 11 часов вредоносный код успевал закрепиться на сервере, а для владельцев сайтов это означает привычный, но неприятный набор работ: проверку файлов и базы, отзыв ключей и смену паролей.
Проблема касается только PRO-версии, бесплатный Rank Math SEO из каталога WordPress.org, по данным BleepingComputer, не пострадал. Разработчики Rank Math удалили заражённую сборку и выпустили чистую версию 3.0.124. Но обычное обновление здесь не равно устранению инцидента: если троянизированный плагин был активирован, сайт следует считать скомпрометированным.
Rank Math PRO — платный инструмент для поисковой оптимизации WordPress-сайтов. Его бесплатная версия установлена более чем на 4 млн сайтов, поэтому даже ограниченное число загрузок платной редакции выглядит заметной проблемой для агентств, интернет-магазинов и продуктовых команд, где WordPress остаётся рабочей платформой, а сервер хранит больше, чем контент и метатеги.
Вредоносный код создавал скрытые точки входа и обеспечивал злоумышленникам постоянный доступ. Он связывался с доменом rank1cdn[.]com и мог заново разворачивать бэкдоры при посещении уже заражённого сайта. Иными словами, отключить расширение, поставить обновление и закрыть тикет не получится: следы атаки способны остаться за пределами каталога самого плагина.
В предупреждении Rank Math прямо говорится о риске утечки учётных данных базы данных, API-ключей и других секретов, доступных веб-серверу. Для команды разработки это особенно неприятный сценарий: один плагин в CMS может стать маршрутом не только к админке WordPress, но и к облачным аккаунтам, сервисам рассылок, CDN, платёжным или аналитическим интеграциям — в зависимости от того, что лежало в переменных окружения и конфигурациях.
BleepingComputer также обнаружил на VirusTotal PHP-файл с именем cache-preloader-fff033 (1).php, который может быть связан с атакой. В нём совпали несколько индикаторов компрометации из предупреждения Rank Math: XOR-ключ xmmqhn, запись _np5pvf754c в базе WordPress, маркер задания cron #ms6v46 и логика создания администраторских аккаунтов с префиксом wpsupport_ и адресами на домене @wp-mail.net.
Этот скрипт, вероятно, служил первым этапом развёртывания и создавал бэкдор wp-includes/class-wp-cache-util.php, упомянутый в уведомлении вендора. Кроме выполнения команд и изменения базы WordPress, образец умеет искать и похищать учётные данные AWS, Cloudflare, Google Cloud, Azure, SSH-ключи и другие чувствительные данные. Издание не смогло подтвердить, что именно этот файл распространялся через заражённую сборку, но совпадение индикаторов связывает его с тем же актором.
Администраторам, которые установили и активировали версию 3.0.123 в указанное окно, Rank Math рекомендует восстановить файлы сайта и базу данных из заведомо чистой резервной копии, затем просканировать окружение и заменить все пароли, ключи и salts WordPress. Исходящие подключения к rank1cdn[.]com следует заблокировать. Восстанавливать нужно не только публичную часть сайта: проверка должна охватить серверные учётные данные, CI/CD-переменные, облачные токены и доступы подрядчиков, если они могли быть доступны процессу PHP.
Если корректного бэкапа нет, вендор советует удалить папку плагина целиком и вручную вычистить вредоносные записи из базы, после чего искать дополнительные бэкдоры, новые учётные записи администраторов, изменённые файлы и задания по расписанию. Сайтам, где файл успели скачать, но не активировали, проще: удалить пакет, установить 3.0.124 и провести сканирование. Однако и в этом случае полезно проверить журнал действий: в инцидентах с цепочкой поставки граница между «не запускали» и «запустили один раз» иногда оказывается не такой чёткой, как хотелось бы.
Компрометация Rank Math снова показывает слабое место экосистемы WordPress: официальный сайт поставщика сам по себе не является доказательством безопасности файла. Для бизнеса это аргумент в пользу контроля контрольных сумм, журналирования установок, минимальных прав сервисных аккаунтов и проверяемых резервных копий. Rank Math пока не раскрыл ни число потенциально затронутых сайтов, ни исходный вектор взлома; именно ответ на второй вопрос определит, был ли это локальный сбой защиты поставщика или симптом более широкой атаки на цепочку поставки WordPress-плагинов.