Rank Math PRO 3.0.123 distribuído com malware (outubro de 2026): quem foi afetado e o que os donos de sites WordPress devem fazer

A empresa pede que você verifique a versão instalada do Rank Math PRO em Plugins no painel do WordPress. As cópias afetadas são a 3.0.123 baixada ou atualizada durante este período:

• UTC: 15 de outubro de 2026, 20:02 a 16 de outubro de 2026, 07:12
• Horário de Brasília: 15 de outubro de 2026, 17:02 a 16 de outubro de 2026, 04:12

A empresa indica ações diferentes para cada caso.

Se você usa apenas o plugin gratuito Rank Math SEO do WordPress.org, não é afetado e não precisa fazer nada.

A recuperação recomendada pela empresa é restaurar os arquivos do site e o banco de dados a partir de um backup criado antes de 20:02 UTC de 15 de outubro. No horário de Brasília, isso equivale a um backup anterior às 17:02 de 15 de outubro.

Após a restauração, execute uma verificação de segurança, troque as credenciais conforme a etapa 4 e instale a 3.0.124 por último. Se não souber como restaurar um backup, a empresa sugere pedir ajuda à sua hospedagem.

Segundo a empresa, o malware pode recriar sua backdoor oculta (uma forma de o invasor voltar ao sistema) sempre que alguém visita o site. Por isso, ela pede que você conclua tudo o que impede a reconstrução antes de qualquer outra coisa e só depois procure outros arquivos suspeitos. Se fizer na ordem inversa, os arquivos removidos podem reaparecer.

Primeiro (conclua todas estas etapas antes de seguir adiante):

• Usando o gerenciador de arquivos da hospedagem ou um FTP, apague a pasta inteira do plugin Rank Math PRO (rank-math-pro). Desativar não é suficiente
• Apague a entrada maliciosa na tabela de opções do banco de dados, cujos nomes a empresa lista
• Se sua hospedagem ou firewall permitir, bloqueie as conexões de saída para o domínio que a empresa lista

Em segundo lugar, procure outras alterações que o invasor possa ter deixado. A empresa aponta estes locais (os nomes específicos de arquivos, padrões de nomes e marcadores estão na página de aviso):

• Contas de administrador que você não reconhece (a empresa publicou os padrões de nome de usuário e e-mail a procurar)
• Arquivos PHP suspeitos nas pastas de outros plugins, nos temas e na pasta de plugins que o WordPress carrega sempre
• Um arquivo que se passa por parte do núcleo do WordPress e não deveria estar ali (a empresa o identifica)
• Regras adicionadas ao .htaccess que fazem arquivos serem executados como PHP quando normalmente não seriam
• Entradas que você não adicionou no crontab do servidor e nos eventos agendados do WordPress
• Arquivos PHP na pasta uploads/; reinstale os outros plugins e temas a partir de suas fontes oficiais
• No lado do servidor: chaves SSH autorizadas, crontabs de outros usuários, processos em execução e locais fora do site em que o servidor web pode gravar

Em hospedagem compartilhada, se você não conseguir ver os itens do lado do servidor, a empresa pede que a hospedagem os verifique. Para um panorama mais amplo de onde procurar, veja como verificar se um site ou servidor foi comprometido.

A empresa diz que esta etapa é essencial mesmo se você tiver restaurado um backup. Considere que quaisquer credenciais e segredos que o site comprometido poderia alcançar foram expostos e substitua-os por novos valores:

• Senhas das contas do WordPress e quaisquer outras senhas que o site poderia acessar
• Usuário e senha do banco de dados em wp-config.php
• As chaves de segurança e salts em wp-config.php (nota deste site: gerá-las novamente desconecta todos os usuários)
• Chaves de gateways de pagamento, credenciais SMTP e outras chaves de API (nota deste site: emita-as novamente no painel de cada serviço e desative as antigas)
• Senhas ou chaves do painel de controle da hospedagem, FTP/SFTP e SSH, e quaisquer segredos guardados em variáveis de ambiente
• Autenticação em dois fatores das contas de administrador, redefinida onde for necessário

Atualize as configurações do site e os serviços conectados com os novos valores. Se não tiver certeza de quais credenciais substituir, a empresa sugere revisá-las com sua hospedagem ou um profissional de segurança. Para o manejo de chaves de API, veja arquivos .env e chaves de API.

Após a limpeza, a empresa pede que você:

• Execute uma verificação com uma ferramenta de segurança confiável, como um plugin de segurança
• Execute wp core verify-checksums do WP-CLI para confirmar que os arquivos do núcleo do WordPress correspondem à versão oficial
• Execute wp plugin verify-checksums --all para os arquivos de plugins. Plugins premium podem não oferecer suporte a isso, então compare-os com uma cópia limpa da fonte oficial
• Monitore conexões de saída e atividades incomuns nos dias seguintes e verifique se os arquivos removidos reaparecem

Se arquivos removidos voltarem ou a atividade incomum continuar, a limpeza pode estar incompleta. A empresa pede que você volte à segunda parte da etapa 3 e peça que sua hospedagem ou um profissional de segurança investigue.

A versão limpa é o Rank Math PRO v3.0.124. A empresa pede que você abra o rankmath.com diretamente, faça login na sua conta e baixe o plugin a partir dos seus downloads.

A empresa diz que nunca enviará links de login ou download por e-mail. Trate como suspeitos e-mails não solicitados que pedem para clicar em um link de redefinição de senha ou de download. Ela também informa que alguns usuários podem não conseguir fazer login e talvez precisem redefinir a senha da conta. Para distinguir e-mails falsos, veja o que é phishing.

Desta vez, a recuperação preferida pela empresa foi "restaurar um backup anterior ao período". Mas, se seus backups guardam apenas uma geração, um backup feito na noite de 16 de outubro sobrescreve o último estado limpo. Se você percebeu isso um dia ou mais depois do aviso, pode não haver mais nada limpo para restaurar.

Como primeiro passo, verifique se os backups diários são mantidos por pelo menos sete dias, armazenados em outro lugar que não o próprio site (fora da sua conta de hospedagem) e se incluem tanto o banco de dados quanto os arquivos. Veja fundamentos de backup e recuperação.

Para verificar os arquivos de plugins após uma limpeza, a empresa observa que a verificação por checksum pode não estar disponível para plugins premium e sugere comparar com uma cópia limpa da fonte oficial. Ao contrário dos plugins distribuídos no WordPress.org, plugins premium podem não ter essa verificação.

Se você guardar o arquivo ZIP baixado do fornecedor para cada versão que instalar, poderá verificar depois se os arquivos no servidor são iguais aos que instalou. Para o reforço geral do WordPress, veja segurança do WordPress.

As credenciais que a empresa pede para trocar cobrem o banco de dados, os salts, pagamentos, envio de e-mails, o painel da hospedagem, FTP e SSH. Começar a busca só depois de encontrar um comprometimento leva a esquecimentos.

Mantenha uma página por site listando quais segredos estão guardados onde e em qual painel são reemitidos, para que, em um dia como este, você consiga trocá-los em ordem. A mesma lista ajuda quando o próprio provedor de hospedagem sofre uma violação (o que fazer quando seu provedor de hospedagem sofre uma violação).