Rank Math PRO 3.0.123 악성코드 배포 사고(2026년 10월): 영향 범위와 WordPress 사이트 운영자의 대응

회사는 WordPress 관리자 화면의 플러그인 메뉴에서 설치된 Rank Math PRO 버전을 확인하라고 요청합니다. 영향을 받는 파일은 이 기간에 다운로드하거나 업데이트한 3.0.123입니다.

• UTC 기준: 2026년 10월 15일 20:02 – 2026년 10월 16일 07:12
• 한국 시간(KST) 기준: 2026년 10월 16일 05:02 – 16:12

회사는 경우에 따라 다른 조치를 안내합니다.

WordPress.org의 무료 Rank Math SEO 플러그인만 사용한다면 영향을 받지 않으므로 별도로 조치할 필요가 없습니다.

회사가 권장하는 복구 방법은 사이트 파일과 데이터베이스를 2026년 10월 15일 20:02(UTC) 이전에 만든 백업으로 복원하는 것입니다. 한국 시간으로는 10월 16일 05:02 이전에 만든 백업입니다.

복원한 뒤에는 보안 검사를 실행하고, 4단계에 따라 자격 증명을 변경하며, 마지막에 3.0.124를 설치하십시오. 백업 복원 방법이 확실하지 않다면 회사는 호스팅 업체에 문의하라고 제안합니다.

회사에 따르면 악성코드는 사이트에 누군가 방문할 때마다 숨겨진 백도어(침입자가 다시 들어오는 통로)를 다시 만들 수 있습니다. 따라서 회사는 그 밖의 어떤 작업보다 먼저 악성코드가 스스로 다시 만들어지는 것을 막는 모든 작업을 마치라고 요청하며, 그 다음에 다른 의심스러운 파일을 찾으라고 합니다. 순서가 반대면 삭제한 파일이 다시 나타날 수 있습니다.

먼저(다음 단계로 넘어가기 전에 모두 완료):

• 호스팅 파일 관리자 또는 FTP로 Rank Math PRO 플러그인 폴더(rank-math-pro) 전체를 삭제하십시오. 비활성화만으로는 충분하지 않습니다
• 회사가 이름을 밝힌 데이터베이스 옵션 테이블의 악성 항목을 삭제하십시오
• 호스트나 방화벽이 허용한다면 회사가 밝힌 도메인으로 나가는 연결을 차단하십시오

다음으로, 침입자가 남겼을 수 있는 다른 변경 사항을 찾으십시오. 회사는 다음 위치를 지목합니다(구체적인 파일 이름, 이름 패턴, 표지는 회사 공지 페이지에 있습니다).

• 알아볼 수 없는 관리자 계정(회사가 찾아볼 사용자 이름과 이메일 패턴을 공개했습니다)
• 다른 플러그인 폴더, 테마, 그리고 WordPress가 항상 로드하는 플러그인 폴더의 의심스러운 PHP 파일
• WordPress 코어의 일부인 것처럼 가장했지만 그곳에 있어서는 안 되는 파일(회사가 파일 이름을 밝힘)
• 평소에는 실행되지 않을 파일을 PHP로 실행하도록 .htaccess에 추가된 규칙
• 서버의 crontab과 WordPress 예약 작업에서 직접 추가하지 않은 항목
• uploads/ 폴더의 PHP 파일. 다른 플러그인과 테마는 공식 출처에서 다시 설치하십시오
• 서버 측: SSH 승인 키, 다른 사용자의 crontab, 실행 중인 프로세스, 웹 서버가 쓸 수 있는 사이트 외부 위치

공유 호스팅에서 서버 측 항목을 직접 확인할 수 없다면, 회사는 호스팅 업체에 확인을 요청하라고 합니다. 더 넓은 점검 범위는 사이트나 서버가 침해되었는지 확인하는 방법을 참고하십시오.

회사는 이 단계가 백업으로 복원했더라도 필수라고 밝혔습니다. 침해된 사이트가 접근할 수 있었던 자격 증명과 비밀 값은 모두 노출되었다고 가정하고 새 값으로 교체하십시오.

• WordPress 계정 비밀번호와 사이트가 접근할 수 있었던 다른 비밀번호
• wp-config.php의 데이터베이스 사용자 이름과 비밀번호
• wp-config.php의 보안 키와 솔트(이 사이트의 참고: 재생성하면 모든 사용자가 로그아웃됩니다)
• 결제 게이트웨이 키, SMTP 자격 증명 및 기타 API 키(이 사이트의 참고: 각 서비스 대시보드에서 다시 발급하고 기존 키는 비활성화하십시오)
• 호스팅 제어판, FTP/SFTP 및 SSH 비밀번호 또는 키, 환경 변수에 저장된 비밀 값
• 관리자 계정의 2단계 인증. 필요하면 재설정

사이트 설정과 연결된 서비스에도 새 값을 반영하십시오. 어떤 자격 증명을 교체해야 할지 확실하지 않다면 회사는 호스팅 업체나 보안 전문가와 함께 검토하라고 제안합니다. API 키 관리는 .env 파일과 API 키를 참고하십시오.

정리가 끝나면 회사는 다음을 요청합니다.

• 보안 플러그인 같은 신뢰할 수 있는 보안 도구로 검사 실행
• WP-CLI의 wp core verify-checksums를 실행해 WordPress 코어 파일이 공식 배포본과 일치하는지 확인
• 플러그인 파일에는 wp plugin verify-checksums --all을 실행하십시오. 유료 플러그인은 이를 지원하지 않을 수 있으므로 공식 출처의 깨끗한 사본과 비교하십시오
• 며칠 동안 외부 연결과 이상 활동을 관찰하고, 삭제한 파일이 다시 나타나는지 확인하십시오

삭제한 파일이 다시 나타나거나 이상 활동이 계속되면 정리가 불완전했을 수 있습니다. 이 경우 회사는 3단계의 두 번째 부분으로 돌아가 호스팅 업체나 보안 전문가에게 조사를 맡기라고 요청합니다.

깨끗한 버전은 Rank Math PRO v3.0.124입니다. 회사는 rankmath.com을 직접 열고, 계정에 로그인한 뒤 다운로드 메뉴에서 받으라고 요청합니다.

회사는 로그인 링크나 다운로드 링크를 이메일로 보내지 않는다고 밝혔습니다. 비밀번호 재설정이나 다운로드 링크 클릭을 요구하는 원치 않는 이메일은 의심스러운 것으로 간주하십시오. 또한 일부 사용자는 로그인할 수 없어 계정 비밀번호를 재설정해야 할 수도 있다고 밝혔습니다. 가짜 이메일을 구별하는 방법은 피싱이란 무엇인가를 참고하십시오.

이번에 회사가 권장한 복구 방법은 "영향 기간 이전에 만든 백업으로 복원"이었습니다. 하지만 백업을 한 세대만 보관한다면, 10월 16일 저녁에 만든 백업이 마지막 깨끗한 상태를 덮어씁니다. 공지 이후 하루 이상 지나서 알아차렸다면 복원할 깨끗한 상태가 남아 있지 않을 수도 있습니다.

첫 단계로, 일일 백업을 최소 7일 동안 보관하는지, 사이트 바깥(호스팅 계정 밖)에 저장하는지, 그리고 데이터베이스와 파일을 모두 포함하는지 확인하십시오. 백업과 복구의 기본을 참고하십시오.

정리 후 플러그인 파일을 점검할 때, 회사는 유료 플러그인에 대해서는 체크섬 검증을 사용하지 못할 수 있으며, 대신 공식 출처의 깨끗한 사본과 비교하라고 제안합니다. WordPress.org에서 배포되는 플러그인과 달리 유료 플러그인에는 이런 검증이 없을 수 있습니다.

설치하는 각 버전에 대해 판매사에서 받은 ZIP 파일을 저장해 두면, 나중에 서버의 파일이 설치한 파일과 같은지 확인할 수 있습니다. WordPress 전반의 보안 강화는 WordPress 보안을 참고하십시오.

회사가 사용자에게 변경을 요청한 자격 증명에는 데이터베이스, 솔트, 결제, 이메일 발송, 호스팅 패널, FTP, SSH가 포함됩니다. 침해가 발견된 뒤에야 찾기 시작하면 빠뜨리기 쉽습니다.

사이트마다 어떤 비밀 값이 어디에 저장되어 있고 어느 대시보드에서 다시 발급하는지 한 페이지로 정리해 두면, 이런 날에 순서대로 바꿀 수 있습니다. 같은 목록은 호스팅 업체 자체가 침해되었을 때도 도움이 됩니다(호스팅 업체가 침해되었을 때 해야 할 일).