Rank Math PRO compromesso: la backdoor WordPress resiste anche dopo la patch

🛡️ Executive Summary

• Alcuni pacchetti Rank Math PRO 3.0.123 distribuiti tra il 15 e il 16 ottobre 2026 contenevano malware capace di installare backdoor persistenti nei siti WordPress.
• La compromissione, identificata come CVE-2026-111862 con CVSS 9.8, interessa soltanto la versione PRO distribuita nella finestra temporale indicata dal produttore.
• Rank Math PRO 3.0.124 è la versione corretta, ma sui siti compromessi occorrono ripristino o bonifica, verifica delle modifiche e sostituzione delle credenziali.

Rank Math PRO è stato coinvolto in un attacco alla supply chain che ha distribuito pacchetti WordPress contenenti malware, trasformando un aggiornamento ufficiale del plugin SEO in un possibile punto d’ingresso per gli aggressori. La compromissione riguarda alcune copie della versione 3.0.123, scaricate o aggiornate tra il 15 e il 16 ottobre 2026. Il produttore ha rimosso i file malevoli e pubblicato Rank Math PRO 3.0.124, ma ha avvertito che la semplice installazione della versione corretta non elimina necessariamente gli effetti dell’infezione. Il malware può infatti mantenere accessi persistenti, ricreare backdoor e lasciare modifiche nei file, nel database e nelle configurazioni del server. La versione gratuita disponibile su WordPress.org non è coinvolta nell’incidente.

Rank Math PRO distribuito con malware per oltre undici ore

La compromissione è stata riconosciuta direttamente da Rank Math attraverso una comunicazione ufficiale dedicata all’incidente della versione PRO 3.0.123. La finestra interessata è compresa tra le 20:02 UTC del 15 ottobre e le 07:12 UTC del 16 ottobre 2026, corrispondenti alle 22:02 del 15 ottobre e alle 09:12 del 16 ottobre in Italia. Per undici ore e dieci minuti, alcuni utenti che hanno scaricato o aggiornato il plugin attraverso il canale del produttore potrebbero avere ricevuto file contenenti codice malevolo. Il rischio dipende quindi dalla provenienza temporale del pacchetto e dalla sua effettiva attivazione, non dalla semplice presenza del numero di versione 3.0.123. Chi ha scaricato il pacchetto compromesso senza installarlo non presenta, sulla base di questo solo episodio, evidenze di infezione; chi lo ha installato senza attivarlo deve eliminare i file e procedere a una scansione precauzionale. Se invece il plugin compromesso è stato attivato, Rank Math raccomanda di considerare il sito violato. Non è stato comunicato il numero preciso delle installazioni interessate, né è stata chiarita pubblicamente nella documentazione disponibile la modalità iniziale con cui i file distribuiti sono stati alterati. Il caso rappresenta un attacco alla fiducia negli aggiornamenti ufficiali, una dinamica che si collega ai precedenti interventi WordPress sui controlli automatici degli aggiornamenti dei plugin considerati rischiosi.

Leggi anche: Acronis sotto exploit e WordPress backdoor: plugin fidati diventano il punto d’ingresso

CVE-2026-111862: perché aggiornare il plugin non basta

La compromissione è registrata come CVE-2026-111862, con una gravità CVSS 9.8 su 10, nella scheda di sicurezza pubblicata da Patchstack. La particolarità è che non si tratta della tradizionale vulnerabilità sfruttata attraverso una richiesta HTTP contro un plugin legittimo: il codice dannoso era già presente in alcuni pacchetti distribuiti agli utenti. L’installazione e l’attivazione potevano quindi introdurre direttamente il meccanismo offensivo nel sito, senza richiedere all’aggressore di sfruttare successivamente una falla applicativa separata. La versione 3.0.124 sostituisce i file compromessi, ma non garantisce l’eliminazione delle modifiche che il malware ha già eseguito. Rank Math avverte infatti che la backdoor può ricrearsi quando qualcuno visita il sito, rendendo inefficace la rimozione isolata di alcuni file sospetti. La persistenza potrebbe coinvolgere componenti esterni alla directory del plugin, account amministrativi aggiunti abusivamente e attività pianificate. È una distinzione determinante rispetto al normale processo di patch management: quando un aggiornamento contiene già un payload malevolo, la correzione del componente originario non equivale necessariamente alla bonifica del sistema. Un precedente sulla capacità di alcune backdoor WordPress di rigenerarsi dopo la rimozione mostra perché le infezioni persistenti richiedano controlli più profondi della semplice verifica della versione installata.

Backdoor nascoste, utenti amministratori e cron: gli indicatori dell’attacco

Rank Math ha pubblicato diversi indicatori di compromissione che consentono agli amministratori di identificare possibili tracce dell’infezione. Nel database WordPress devono essere esaminate le voci della tabella wp_options — oppure della corrispondente tabella options con prefisso personalizzato — il cui option_name corrisponde a _uf6qdn2hmm, t8krdk990phb oppure _np5pvf754c. La presenza di queste chiavi è rilevante perché il malware utilizza componenti del database per mantenere il proprio funzionamento. La comunicazione indica inoltre il dominio rank1cdn.com come destinazione da bloccare nelle connessioni in uscita. Sul filesystem occorre cercare file PHP sospetti in wp-content/mu-plugins/, nelle directory di altri plugin e nelle cartelle inc/, includes/ e lib/ dei temi non predefiniti. Tra gli elementi tecnici da verificare figurano combinazioni di base64_decode con cicli XOR, la chiave xmmqhn, chiamate a proc_open e codice relativo ai socket PHP-FPM; questi elementi richiedono analisi contestuale perché una singola funzione PHP, isolatamente, non dimostra un’infezione. Il produttore segnala anche il file wp-includes/class-wp-cache-util.php, che non appartiene al core WordPress legittimo, regole .htaccess capaci di eseguire file .cache come PHP e attività pianificate contrassegnate da #ms6v46. Gli aggressori potrebbero inoltre aver creato account amministrativi con nomi che iniziano per wpsupport_ oppure indirizzi email sul dominio wp-mail.net. Il quadro richiama il problema già emerso negli attacchi alla supply chain WordPress attraverso plugin distribuiti da fonti considerate attendibili: la compromissione può estendersi ben oltre il componente che ha introdotto il malware.

La bonifica deve interrompere la persistenza prima di eliminare i file

Il produttore indica come soluzione preferibile il ripristino completo dei file e del database da un backup precedente alle 22:02 italiane del 15 ottobre 2026, seguito dalla scansione di sicurezza e dalla sostituzione delle credenziali potenzialmente esposte. Quando non è disponibile una copia affidabile, la bonifica manuale richiede un ordine rigoroso. Prima bisogna eliminare l’intera directory del plugin Rank Math PRO compromesso, rimuovere le tre voci malevole dalla tabella delle opzioni e, quando possibile, bloccare le comunicazioni in uscita verso rank1cdn.com. Disattivare il plugin senza rimuovere il meccanismo di persistenza non è sufficiente, perché la backdoor potrebbe essere ricreata al successivo accesso al sito. Soltanto dopo avere interrotto questo comportamento occorre esaminare i file PHP nascosti, gli account sconosciuti, le regole .htaccess, i cron di sistema e le attività pianificate di WordPress. I comandi WP-CLI wp user list --role=administrator e wp cron event list permettono di controllare rispettivamente gli amministratori e gli eventi programmati, mentre wp core verify-checksums e wp plugin verify-checksums --all aiutano a verificare l’integrità dei componenti; per i plugin premium, tuttavia, i checksum potrebbero non essere disponibili. Le verifiche devono comprendere anche directory uploads, processi del server, chiavi SSH e file accessibili all’utente web. Una volta completata la bonifica, è necessario sostituire password WordPress, credenziali del database, chiavi e salt, token API, credenziali SMTP e accessi amministrativi all’hosting, verificando anche gli eventuali segreti conservati nelle configurazioni. La versione pulita 3.0.124 deve essere scaricata accedendo direttamente al proprio account Rank Math, evitando collegamenti di download ricevuti via email. Chi non dispone delle competenze necessarie dovrebbe affidare l’intervento al proprio hosting o a uno specialista, preservando prima le evidenze utili alla ricostruzione dell’incidente.

Continua con:

EssentialPlugin hackerata: backdoor in oltre 20 plugin WordPress

ConnectWise, attacco alla supply chain Microsoft 365: Cloud Backup sospeso

L’incidente Rank Math dimostra il limite degli aggiornamenti considerati sicuri per definizione

Il caso Rank Math evidenzia una debolezza strutturale dei sistemi di distribuzione software: un aggiornamento proveniente dal canale ufficiale può diventare esso stesso il vettore della compromissione. La gravità non dipende soltanto dalla diffusione del plugin SEO, ma dal fatto che l’amministratore potrebbe non avere alcun motivo apparente per sospettare un pacchetto ottenuto attraverso le procedure consuete. L’esistenza di una finestra temporale precisa consente di circoscrivere le installazioni potenzialmente interessate, evitando di attribuire l’infezione a tutte le versioni 3.0.123 o agli utenti della versione gratuita. Tuttavia, per chi ha attivato il pacchetto compromesso, l’aggiornamento correttivo non può essere considerato la conclusione dell’incidente. Rimangono da verificare persistenza, accessi abusivi, credenziali eventualmente esposte e modifiche fuori dalla directory originaria. Per editori, imprese e amministratori di siti italiani la lezione operativa è particolarmente concreta: backup verificabili, registrazione degli aggiornamenti e capacità di ricostruire le modifiche al filesystem sono elementi fondamentali della risposta agli incidenti. Un plugin aggiornato non significa necessariamente un sito bonificato, soprattutto quando il codice dannoso è stato eseguito prima della distribuzione della correzione.