Для кого: для всех, кто использует платный SEO-плагин для WordPress Rank Math PRO, а также для агентств и специалистов по поддержке, которые установили его на сайты клиентов.
Эта статья основана на официальном уведомлении Rank Math. Она не описывает методы атак, содержимое вредоносного кода или конкретные значения индикаторов компрометации (IoC). Их можно проверить на странице уведомления компании.
Ситуация развивается: статья будет обновляться по мере публикации новых данных
По состоянию на 20 октября 2026 годаПока неизвестно
- Число затронутых пользователей или сайтов (сказано только «ограниченное число»)
- Как вредоносный код попал в распространяемые файлы
- Что компания делает для предотвращения повторения
- Затронуты ли данные учетных записей Rank Math
Компания не сообщила, опубликует ли она продолжение. Уведомление было опубликовано 16 октября (UTC) и обновлено 19 октября с заметкой о том, что бесплатная версия не затронута. По состоянию на 20 октября других изменений не было.
Что нужно сделать сегодня пользователям Rank Math PRO
Шаг 1 относится ко всем. Последующие шаги следуют рекомендациям компании для сайтов, на которых была активирована копия 3.0.123, полученная в затронутый период. Если вы не уверены в работе с файлами сервера или базами данных, компания настоятельно рекомендует поручить это хостинг-провайдеру или квалифицированному специалисту по безопасности.
Проверьте, затронуты ли вы: версию, дату получения и активацию
Компания просит проверить установленную версию Rank Math PRO в разделе «Плагины» в админке WordPress. Затронутыми считаются копии 3.0.123, скачанные или обновлённые в этот период:
- UTC: 15 октября 2026 года, 20:02 — 16 октября 2026 года, 07:12
- Время в Японии: 16 октября 2026 года, 5:02 — 16:12
Для каждого случая компания даёт свои рекомендации.
| Ваш случай | Рекомендация компании |
|---|---|
| Установлена и активирована копия 3.0.123, полученная в затронутый период | Считайте сайт скомпрометированным и восстанавливайте его, начиная со шага 2 |
| Установлена, но не активирована | Удалите файлы плагина, установите 3.0.124 и на всякий случай проведите проверку безопасности |
| Только скачана (не установлена и не активирована) | Одного этого инцидента недостаточно, чтобы говорить о компрометации сайта |
| Не уверены | Обратитесь в службу поддержки компании |
Если вы используете только бесплатный плагин Rank Math SEO с WordPress.org, вы не затронуты и ничего делать не нужно.
Если плагин был активирован: восстановите резервную копию, сделанную до этого периода (рекомендация компании)
Рекомендованный компанией способ восстановления — вернуть и файлы сайта, и базу данных из резервной копии, созданной до 20:02 UTC 15 октября. По времени в Японии это копия, созданная до 5:02 16 октября.
После восстановления проведите проверку безопасности, смените учетные данные, как описано в шаге 4, и установите 3.0.124 последним. Если вы не знаете, как восстановить резервную копию, компания советует обратиться к хостинг-провайдеру.
Если восстановить нельзя: очистите сайт вручную, в порядке, который указывает компания
По словам компании, вредоносный код может восстанавливать свою скрытую закладку (способ вернуться для злоумышленника) при каждом посещении сайта. Поэтому компания просит сначала выполнить всё, что мешает ему восстанавливаться, и только потом искать другие подозрительные файлы. Если сделать наоборот, удалённые файлы могут вернуться.
Сначала (выполните все эти действия, прежде чем переходить дальше):
- Через файловый менеджер хостинга или FTP удалите всю папку плагина Rank Math PRO (rank-math-pro). Одной деактивации недостаточно
- Удалите вредоносную запись в таблице options базы данных; компания перечисляет её название
- Если хостинг или межсетевой экран это позволяют, заблокируйте исходящие подключения к домену, который указывает компания
Затем ищите другие изменения, которые мог оставить злоумышленник. Компания указывает на следующие места (конкретные имена файлов, шаблоны имён и маркеры есть на странице уведомления):
- Учетные записи администраторов, которых вы не узнаёте (компания опубликовала шаблоны имён пользователей и адресов электронной почты для поиска)
- Подозрительные PHP-файлы в папках других плагинов, в темах и в папке плагинов, которые WordPress загружает всегда
- Файл, выдающий себя за часть ядра WordPress, но не относящийся к нему (компания называет его)
- Правила в
.htaccess, которые позволяют запускать файлы как PHP, хотя обычно этого не происходит - Записи, которые вы не добавляли, в crontab сервера и в запланированных событиях WordPress
- PHP-файлы в папке
uploads/; переустановите другие плагины и темы из официальных источников - Серверная часть: SSH-ключи авторизации, crontab других пользователей, работающие процессы и места за пределами сайта, в которые веб-сервер может записывать данные
На общем хостинге, если вы не видите серверные элементы самостоятельно, компания просит поручить их проверку хостингу. Более широкий обзор того, где искать, см. в статье как проверить, скомпрометирован ли сайт или сервер.
Даже после восстановления из резервной копии: смените все учетные данные, к которым сайт мог иметь доступ
Компания говорит, что этот шаг обязателен, даже если вы восстановили сайт из резервной копии. Исходите из того, что все учетные данные и секреты, до которых мог добраться скомпрометированный сайт, были раскрыты, и замените их на новые:
- Пароли учетных записей WordPress и любые другие пароли, к которым сайт мог иметь доступ
- Имя пользователя и пароль базы данных в
wp-config.php - Ключи безопасности и «соли» в
wp-config.php(примечание этого сайта: их обновление выведет из системы всех пользователей) - Ключи платёжных шлюзов, учетные данные SMTP и другие API-ключи (примечание этого сайта: перевыпустите их в панели каждого сервиса и отключите старые)
- Пароли или ключи панели хостинга, FTP/SFTP и SSH, а также любые секреты, хранящиеся в переменных окружения
- Двухфакторная аутентификация для учетных записей администраторов, при необходимости сбросьте её
Обновите настройки сайта и подключённых сервисов новыми значениями. Если вы не уверены, какие учетные данные менять, компания советует проверить их вместе с хостингом или специалистом по безопасности. По работе с API-ключами см. статью файлы .env и API-ключи.
Проверьте, что сайт чист, и следите за ним несколько дней
После очистки компания просит:
- Запустить проверку с помощью надёжного инструмента безопасности, например плагина безопасности
- Выполнить
wp core verify-checksumsиз WP-CLI, чтобы убедиться, что файлы ядра WordPress совпадают с официальным релизом - Выполнить
wp plugin verify-checksums --allдля файлов плагинов. Платные плагины могут не поддерживать эту проверку, поэтому сравните их с чистой копией из официального источника - В течение следующих дней следить за исходящими подключениями и необычной активностью, а также проверять, не появляются ли удалённые файлы снова
Если удалённые файлы возвращаются или необычная активность продолжается, очистка могла быть неполной. Компания просит вернуться ко второй части шага 3 и поручить расследование хостингу или специалисту по безопасности.
Установите 3.0.124 последним: войдите на rankmath.com самостоятельно и скачайте плагин
Чистая версия — Rank Math PRO v3.0.124. Компания просит открыть rankmath.com напрямую, войти в свой аккаунт и скачать плагин из раздела загрузок.
Компания говорит, что никогда не отправляет ссылки для входа или скачивания по электронной почте. Считайте подозрительными непрошеные письма с требованием перейти по ссылке для сброса пароля или скачивания. Компания также сообщает, что некоторым пользователям может не удаться войти и им может понадобиться сбросить пароль от учетной записи. Чтобы отличать поддельные письма, см. статью что такое фишинг.
Активирована копия 3.0.123, полученная в затронутый период
Считайте сайт скомпрометированным
↓→
1. Восстановите резервную копию, сделанную до периода
Если это невозможно: удалите папку, затем ищите другие изменения
Каким бы путём вы ни пошли
Даже после восстановления из резервной копии
↓→
2. Смените все учетные данные
База данных, соли, API-ключи, хостинг, FTP/SSH
Установлена, но не активирована
Файлы всё ещё на месте
↓→
Удалите файлы и проведите проверку
Затем установите 3.0.124
Только скачана или только бесплатная версия
Одного этого инцидента недостаточно для вывода о компрометации / не затронута
↓→
3. Получите 3.0.124 на rankmath.com
Никогда по ссылке из письма
Для агентств и специалистов по поддержке
Если вы установили Rank Math PRO на сайты клиентов, составьте список сайтов, на которых плагин обновлялся в период с 20:02 UTC 15 октября по 07:12 UTC 16 октября. Как правило, при включённом автообновлении плагинов 3.0.123 могла установиться в этот период без участия кого-либо на сайте. Быстро составить список можно, проверив для каждого управляемого сайта версию Rank Math PRO и дату изменения папки плагина.
Что произошло (по данным Rank Math)
Всё, что ниже, взято из статьи Rank Math в базе знаний «Rank Math PRO 3.0.123 Security Incident: How to Secure Your Website» (опубликована 16 октября 2026 года, обновлена 19 октября).
15 окт., 20:02 UTC
С этого момента затронуты некоторые пользователи, которые скачали или обновились до Rank Math PRO v3.0.123.16 окт., 07:12 UTC
Затронутый период закончился. Компания заявляет, что сразу удалила затронутые файлы и выпустила чистую версию v3.0.124 (время удаления не указано).16 окт., 20:32 UTC
Компания публикует уведомление в своей базе знаний.19 окт.
Уведомление обновлено: добавлена заметка о том, что бесплатная версия на WordPress.org не затронута и никаких действий не требует.По состоянию на 20 окт.
Других изменений нет.
- Затронутые
- «Ограниченное число пользователей», которые скачали или обновились до Rank Math PRO v3.0.123 в период с 20:02 UTC 15 октября по 07:12 UTC 16 октября
- Что произошло
- Затронутые файлы плагина содержали вредоносный код, который мог скомпрометировать сайт, если плагин был активирован
- Что делает вредоносный код (по раскрытым данным)
- Он может восстанавливать свою скрытую закладку при каждом посещении сайта. Компания заявляет, что злоумышленник мог оставить дополнительные файлы, учетные записи или изменения на уровне сервера
- Ответ компании
- Сразу удалила затронутые файлы и выпустила чистую версию v3.0.124. Заявляет, что принимает меры для снижения риска подобных инцидентов
- Не затронуто
- Бесплатный плагин Rank Math SEO, распространяемый на WordPress.org
- Как получить исправление
- Войдите на rankmath.com напрямую и скачайте плагин. Компания никогда не отправляет ссылки для входа или скачивания по электронной почте
- Причина и цифры
- Не раскрыты
- Поддержка
- Адрес электронной почты поддержки или тикет-система, указанные на странице уведомления. Компания просит указать версию Rank Math PRO и описать уже предпринятые шаги
Что известно и что нет
Статус на 20 октября 2026 года. Если появится продолжение, столбец статуса будет обновлён.
| Пункт | Что говорится в уведомлении | Статус |
|---|---|---|
| Затронутая версия | Rank Math PRO v3.0.123 | Подтверждено (по данным компании) |
| Затронутый период | Скачивания и обновления с 20:02 UTC 15 октября по 07:12 UTC 16 октября | Подтверждено (по данным компании) |
| Вредоносный код в файлах | Затронутые файлы плагина содержали вредоносный код | Подтверждено (по данным компании) |
| Компрометация сайтов, на которых плагин был активирован | Могли быть скомпрометированы; компания просит считать их скомпрометированными | Возможно (по данным компании) |
| Учетные данные сайта | Компания просит исходить из того, что секреты, до которых сайт мог добраться, раскрыты, и сменить их | Возможно (по данным компании) |
| Бесплатная версия (WordPress.org) | Не затронута; действий не требуется | Не входит в инцидент (по данным компании) |
| Только скачана | Одного этого инцидента недостаточно, чтобы говорить о компрометации сайта | Не подтверждено (по данным компании) |
| Число затронутых пользователей или сайтов | Только «ограниченное число пользователей» | Не указано |
| Как вредоносный код попал в файлы | В уведомлении не указано | Не указано |
| Меры против повторения | Компания заявляет, что принимает меры, но не описывает их | Не указано |
| Данные учетных записей Rank Math | Некоторым пользователям может понадобиться сбросить пароль для входа; причина и возможное влияние на данные учетных записей не указаны | Не указано |
| 3.0.123, полученная вне периода | Уведомление касается только копий, полученных в затронутый период, и ничего не говорит о других (в журнале изменений PRO компании 3.0.123 датирована 7 октября) | Не указано |
Как это понимать: даже если число небольшое, решайте по версии и времени
Компания называет затронутую группу «ограниченным числом пользователей», но не приводит цифры, и этот сайт не публикует предположений. Решать, затронуты ли вы, нужно исходя из того, получили ли вы 3.0.123 в затронутый период и активировали ли эти файлы, а не из числа пострадавших.
В уведомлении компании упоминаются конкретные продукты безопасности как примеры инструментов сканирования; в соответствии с нашей политикой этот сайт называет только организацию, раскрывшую инцидент.
Что может произойти, когда вредоносный код попадает в распространяемые файлы плагина
Всё, что написано далее, справедливо в общем случае; это не значит, что в данном случае произошло именно это. Что компания раскрыла о данном вредоносном коде, описано выше в разделе «Что произошло».
Плагин WordPress работает с теми же правами, что и сайт. После активации он может читать и изменять базу данных, учетные данные в wp-config.php и другие файлы на сервере. Поэтому, если сам распространяемый пакет содержит вредоносный код, никакая стойкость административного пароля на стороне владельца сайта не предотвратит вторжение.
Отличие этого случая от повторного использования паролей или уязвимости старого плагина в том, что проблема приходит через доверенный источник и устанавливается обычным способом. Похожие случаи с инструментами разработчиков: компрометация цепочки поставок Trivy и инциденты с TanStack и Nx Console. В обоих случаях вредоносное содержимое распространялось под легитимными номерами версий, и пользователям пришлось менять учетные данные.
Что владельцы сайтов могут проанализировать: на основе опубликованных фактов
Компания не раскрыла причину, поэтому в этом разделе не говорится, как распространитель мог бы этого избежать, и не дается оценка ответа компании. Здесь рассмотрены три момента из опубликованных фактов, которые помогут пользователям подготовиться к следующему инциденту.
Храните резервные копии за несколько дней
В этот раз рекомендованным компанией способом восстановления было «восстановление из резервной копии, сделанной до периода». Но если у вас хранится только одна генерация копий, резервная копия, созданная вечером 16 октября, перезапишет последнее чистое состояние. Если вы заметили проблему через день и более после уведомления, чистой копии для восстановления может не остаться.
Для начала проверьте, что ежедневные копии хранятся не менее семи дней, что они лежат вне сайта (вне вашего хостинг-аккаунта) и что в них входят и база данных, и файлы. См. статью основы резервного копирования и восстановления.
Храните чистую копию каждой версии платного плагина, которую устанавливаете
Для проверки файлов плагинов после очистки компания отмечает, что проверка контрольных сумм может быть недоступна для платных плагинов, и советует вместо этого сравнивать их с чистой копией из официального источника. В отличие от плагинов с WordPress.org, у платных плагинов такой проверки может не быть.
Если вы сохраняете ZIP-файл, скачанный у поставщика, для каждой устанавливаемой версии, вы сможете позже проверить, совпадают ли файлы на сервере с теми, которые вы устанавливали. Общие рекомендации по защите WordPress см. в статье безопасность WordPress.
Составьте список секретов сайта, исходя из того, что их придётся менять
Учетные данные, которые компания просит сменить, охватывают базу данных, соли, платежи, отправку почты, панель хостинга, FTP и SSH. Если начинать поиск только после обнаружения компрометации, часть из них можно пропустить.
Ведите по одной странице на каждый сайт со списком того, какой секрет где хранится и в какой панели его перевыпускают, чтобы в такой день вы могли менять их по порядку. Тот же список поможет, если взломан сам хостинг-провайдер (что делать, если взломан хостинг-провайдер).
Источники (открытые данные)
Факты в этой статье взяты из следующих публичных источников. Содержимое вредоносного кода, домены, с которыми он связывается, и конкретные значения индикаторов не приводятся.
- Rank Math, «Rank Math PRO 3.0.123 Security Incident: How to Secure Your Website» (опубликовано 16 октября 2026 года, обновлено 19 октября) — rankmath.com
- Rank Math, «PRO Changelog» (проверено 20 октября 2026 года; v3.0.124 датирована 16 октября, v3.0.123 — 7 октября) — rankmath.com
История обновлений
2026-10-20: первая версия, основанная на уведомлении Rank Math в редакции от 19 октября. Будет обновлена, когда будут опубликованы причина или цифры.
Читайте дальше
- Проверка собственного сайта: как проверить, скомпрометированы ли сайт или сервер (общий хостинг, WordPress, VPS)
- Защита WordPress: безопасность WordPress
- Подготовка: основы резервного копирования и восстановления / выбор многофакторной аутентификации
- Если взломан провайдер: что делать, если взломан хостинг-провайдер
- Термины: что такое бэкдор / что такое вредоносное ПО
- Другие инциденты 2026 года: утечки данных и кибератаки в 2026 году