Rank Math PRO (plugin WordPress) compromesso con una backdoor: aggiornare alla 3.0.124 non basta (aggiornato: 20 ottobre 2026, ore 07:05)

Undici ore. Tanto è rimasta aperta la finestra in cui scaricare Rank Math PRO, la versione a pagamento del noto plugin SEO per WordPress, dal sito ufficiale del produttore poteva significare installare una backdoor sul proprio sito. Non si tratta di una vulnerabilità nel codice del plugin, ma di un attacco alla catena di distribuzione: i file manomessi arrivavano da rankmath.com o tramite il normale canale di aggiornamento. Chi ha attivato una copia infetta deve considerare il sito compromesso, anche se nel frattempo ha già aggiornato.

Una sola versione, una finestra precisa

Rank Math ha pubblicato un avviso di sicurezza il 16 ottobre. Sono coinvolti solo alcuni pacchetti della versione 3.0.123, scaricati da rankmath.com o ricevuti come aggiornamento tra le 20:02 UTC del 15 ottobre 2026 e le 07:12 UTC del 16 ottobre 2026.

Il dettaglio temporale è decisivo. Secondo il changelog di Rank Math, la 3.0.123 è datata 7 ottobre, cioè più di una settimana prima che la finestra si aprisse. Una copia della 3.0.123 ottenuta prima delle 20:02 UTC del 15 ottobre resta quindi fuori dall'incidente: il numero di versione, da solo, non basta a stabilire se un sito sia stato compromesso.

Il perimetro, inoltre, è limitato al plugin PRO, che i clienti scaricano e aggiornano da rankmath.com e non da WordPress.org. La versione gratuita Rank Math SEO, distribuita su WordPress.org con oltre 4 milioni di installazioni attive e aggiornata l'ultima volta il 6 ottobre, non è citata nell'avviso.

Alla falla è stato assegnato l'identificativo CVE-2026-111862, con punteggio CVSS di 9,8 (critico), indicando la 3.0.123 come versione vulnerabile e la 3.0.124 come versione corretta.

L'avviso di Rank Math non contiene un'analisi del codice, né attribuisce l'attacco a qualcuno. Non è noto nemmeno come l'aggressore sia riuscito a manomettere i pacchetti, né quanti siti siano stati colpiti.

Cosa fa la backdoor una volta attivata

Il malware entra in azione quando il plugin viene attivato. Può stabilire un accesso persistente al sito, comunica con il dominio rank1cdn[.]com e, soprattutto, è in grado di ricreare la propria backdoor nascosta a ogni visita delle pagine. Una persistenza del genere rende la pulizia manuale tutt'altro che banale.

Tra gli indicatori di compromissione elencati da Rank Math ci sono tre chiavi malevole nella tabella wp_options, backdoor PHP nascoste, account amministratore non autorizzati, un falso file del core di WordPress, file .cache eseguibili come PHP e un marcatore nel cron di sistema. Il malware modifica infatti .htaccess affinché i file .cache vengano interpretati come PHP, pianifica task e cron job, altera altri plugin e temi e carica ulteriori file.

Le backdoor PHP possono annidarsi nelle cartelle di altri plugin, nei temi e nella directory dei must-use plugin. Possono anche essere aggiunte chiavi SSH. Le modifiche, insomma, possono uscire dal perimetro dell'installazione WordPress. Di conseguenza vanno considerati esposti le credenziali di WordPress e del database, le chiavi API e qualsiasi altro segreto accessibile al web server.

Cosa fare adesso, caso per caso

Rank Math ha rimosso i file compromessi e ha rilasciato la versione pulita. «Abbiamo rimosso immediatamente i file coinvolti e rilasciato una versione pulita, Rank Math PRO v3.0.124», ha comunicato l'azienda. Ha inoltre contattato via email alcuni utenti e dichiara di disporre dei registri che identificano chi ha scaricato una copia infetta. Se non sai con certezza se i file siano stati installati o attivati, il consiglio è di rivolgerti al supporto.

Le indicazioni del produttore cambiano in base alla situazione:

• Installato e attivato durante la finestra: il sito va trattato come compromesso e serve un ripristino completo, anche se è già stato aggiornato alla 3.0.124
• Installato ma mai attivato: elimina i file del plugin, installa la 3.0.124 dal tuo account Rank Math ed esegui una scansione di sicurezza
• Scaricato ma mai installato: questo incidente, da solo, non indica una compromissione del sito

Perché aggiornare alla 3.0.124 non basta

Come sottolinea l'advisory di Wordfence del 17 ottobre, installare la 3.0.124 sostituisce il plugin, ma non rimuove file, account amministratore o task pianificati che il malware potrebbe aver già disseminato altrove. La soluzione preferibile è ripristinare un backup pulito, creato prima dell'incidente.

Se un backup non è disponibile, la procedura prevede di eliminare la cartella del plugin Rank Math PRO, rimuovere la voce malevola dal database, bloccare rank1cdn[.]com, individuare ed eliminare i file PHP sospetti e gli account amministratore sconosciuti. L'ordine conta: cancellare i file sospetti prima di aver fermato il meccanismo che ricrea la backdoor rischia di non risolvere nulla.

Su un server gestito in autonomia, poi, vale la pena controllare anche authorized_keys di SSH, i crontab degli altri utenti di sistema, eventuali processi sospetti e le altre posizioni scrivibili dal web server. Solo dopo aver verificato che il sito sia pulito si cambiano tutte le password e si reinstalla una copia integra di Rank Math PRO. Farlo prima significherebbe consegnare le nuove credenziali direttamente a chi controlla la backdoor.

Fonti: thehackernews.com, radar.offseq.com, securityweek.com