Rank Math PRO 3.0.123にマルウェアが混入（2026年10月）：対象の版と時間帯、WordPressサイトの運営者がやること

同社は、WordPressの管理画面の「プラグイン」で、インストールされているRank Math PROの版を確かめるよう案内しています。対象は、次の時間帯にダウンロード、または更新した3.0.123です。

• UTC：2026年10月15日20:02〜10月16日07:12
• 日本時間：2026年10月16日5:02〜16:12

同社は、状況ごとに対応を分けています。

WordPress.orgで配布している無料版のRank Math SEOだけを使っている場合は対象外で、対応は不要としています。

同社が勧める復旧の方法は、10月15日20:02（UTC）より前に取ったバックアップから、サイトのファイルとデータベースを両方戻すことです。日本時間では10月16日5:02より前のバックアップにあたります。

戻したあとは、セキュリティのスキャンをして、手順4の認証情報の変更を行い、最後に3.0.124を入れます。バックアップの戻し方が分からない場合は、レンタルサーバーの事業者に相談するよう同社は案内しています。

同社によれば、このマルウェアは、サイトが訪問されるたびに隠れたバックドア（侵入者が後から入り直すための裏口）を作り直すことがあります。そのため、作り直す仕組みを止める作業を先に全部終えてから、ほかの不審なファイルを探すよう順番を指定しています。順番を逆にすると、消したファイルがまた作られることがあります。

1つ目にやること（すべて終えてから次へ進む）：

• ファイルマネージャーかFTPで、Rank Math PROのプラグインのフォルダ（rank-math-pro）をまるごと削除する。無効化だけでは足りない
• データベースの設定のテーブルから、同社が名前を公表している不正な項目を削除する
• サーバーやファイアウォールで設定できるなら、同社が公表している外部のドメインへの通信を止める

2つ目に、侵入者が残したほかの変更を探します。同社が挙げている確認の場所は次のとおりです（具体的なファイル名・名前の形・印は同社の発表ページにあります）。

• 管理者の権限を持つユーザーに、見覚えのないアカウントが増えていないか（同社が特定の名前の形とメールアドレスの形を公表）
• 他のプラグインやテーマのフォルダ、必ず読み込まれるプラグインの置き場所に、不審なPHPファイルがないか
• WordPress本体のファイルに見せかけた、本来は存在しないファイルがないか（同社がファイル名を公表）
• .htaccess に、本来はPHPとして動かないファイルを動かす設定が足されていないか
• サーバーの定期実行（crontab）とWordPressの予約イベントに、登録した覚えのないものがないか
• アップロード用のフォルダ（uploads/）にPHPファイルがないか。他のプラグイン・テーマは公式の配布元から入れ直す
• サーバー側：SSHの公開鍵の登録、他のユーザーの定期実行、動いているプロセス、サイトの外でWebサーバーが書き込める場所

共用のレンタルサーバーで、サーバー側の項目を自分で見られない場合は、事業者に調べてもらうよう同社は案内しています。確かめる場所の全体像は サイトやサーバーが不正アクセスされたか調べる方法 にもまとめています。

同社は、この手順はバックアップから戻した場合でも欠かせないとしています。侵害されたサイトから読めた認証情報や秘密は、漏れたものとして新しい値に変えるよう求めています。

• WordPressのアカウントのパスワードと、サイトから読めたその他のパスワード
• wp-config.php に書いたデータベースのユーザー名とパスワード
• wp-config.php のセキュリティキーとソルト（当サイトの補足：作り直すと、ログイン中の人は全員ログアウトされる）
• 決済サービスのキー、メール送信（SMTP）の認証情報、そのほかのAPIキー（当サイトの補足：各サービスの管理画面で再発行し、古いキーを無効にする）
• レンタルサーバーの管理画面、FTP/SFTP、SSHのパスワードや鍵。環境変数に入れた秘密も見直す
• 管理者の2段階認証の設定。必要なら設定し直す

新しい値に変えたら、サイトの設定やつながっている外部のサービスにも反映します。どれを変えるべきか分からない場合は、事業者か専門家に一緒に見てもらうよう同社は勧めています。APIキーの扱いは .envとAPIキーの基本 にまとめています。

同社は、片付けのあとに次のことを行うよう案内しています。

• セキュリティプラグインなどの信頼できるツールでスキャンする
• WP-CLIの wp core verify-checksums で、WordPress本体のファイルが公式の配布物と一致するかを確かめる
• wp plugin verify-checksums --all でプラグインのファイルを確かめる。有料プラグインはこの方法で確かめられないことがあるので、公式の配布元から入手したきれいな複製と比べる
• その後の数日、外部への通信や不審な動きを見張る。削除したファイルがまた現れないかを確かめる

削除したファイルが戻ってきたり、不審な動きが続いたりする場合は、片付けが終わっていないおそれがあります。手順3の2つ目に戻り、事業者か専門家に詳しく調べてもらうよう同社は求めています。

問題のない版は Rank Math PRO v3.0.124 です。同社は、rankmath.comを自分で開いてアカウントにログインし、ダウンロードのページから入手するよう案内しています。

同社は、ログインやダウンロードのリンクをメールで送ることはないとしています。パスワードの再設定やダウンロードを求める心当たりのないメールは、不審なものとして扱ってください。一部の利用者はログインできず、アカウントのパスワードの再設定が必要な場合があるとしています。偽のメールの見分け方は フィッシングとは にまとめています。

今回、同社が最も勧める復旧は「期間より前のバックアップから戻す」ことでした。ところが、バックアップを1世代しか残さない設定だと、10月16日の夜に取ったバックアップで、それより前のきれいな状態が上書きされます。気づいたのが発表の翌日以降なら、戻せる先が残っていません。

最初の1つとしては、毎日のバックアップを少なくとも7日分残し、サイトとは別の場所（レンタルサーバーの外）に置く設定を確かめてください。データベースとファイルの両方が入っているかも確かめます。考え方は バックアップと復旧の基本 にまとめています。

同社は、片付けのあとにプラグインのファイルを確かめる方法として、公式の照合（チェックサム）が使えない有料プラグインでは、公式の配布元から入手したきれいな複製と比べるよう案内しています。WordPress.orgで配布されているプラグインと違い、有料プラグインでは照合が使えないことがあるためです。

有料プラグインを更新するときに、配布元から入手したZIPファイルを版ごとに保存しておくと、あとで「今サーバーにあるファイルが、入れたときのものと同じか」を比べられます。WordPress全体の固め方は WordPressのセキュリティ対策 にまとめています。

同社が変更を求めた認証情報は、データベース、ソルト、決済、メール送信、サーバーの管理画面、FTP、SSHと多岐にわたります。侵害が分かってから探し始めると、変え忘れが出ます。

サイトごとに「どの秘密がどこに書いてあり、どの管理画面で再発行するか」を1枚にまとめておくと、今回のような事案の日に順番どおりに変えられます。レンタルサーバーの事業者側で侵害が起きたときの備えも同じ一覧が使えます（レンタルサーバーが不正アクセスされたとき）。