Rank Math PRO 3.0.123 夹带恶意软件（2026年10月）：谁受影响，以及WordPress网站管理员应做什么

公司要求您在WordPress后台的“插件”下检查已安装的Rank Math PRO版本。受影响的副本为在此时段内下载或更新的3.0.123：

• UTC时间：2026年10月15日20:02至2026年10月16日07:12
• 日本时间：2026年10月16日5:02至16:12

公司针对每种情况给出不同的措施。

如果您只使用WordPress.org上的免费版Rank Math SEO插件，则不受影响，无需采取任何行动。

公司建议的恢复方式是，从2026年10月15日20:02 UTC之前创建的备份恢复网站文件和数据库。按日本时间，即从10月16日5:02之前的备份恢复。

恢复后，运行安全扫描，按照第4步更改凭证，最后安装3.0.124。如果您不确定如何恢复备份，公司建议咨询托管服务商。

据公司称，恶意软件可能在任何人访问网站时重新生成其隐藏后门（即入侵者再次进入的途径）。因此，公司要求您先完成所有阻止其自我重建的步骤，然后再进行其他操作，之后才查找其他可疑文件。如果顺序颠倒，您删除的文件可能会重新出现。

第一，请先完成以下所有步骤，再继续：

• 使用托管服务商的文件管理器或FTP，删除整个Rank Math PRO插件文件夹（rank-math-pro）。仅停用是不够的
• 删除数据库选项表中的恶意条目（公司列出了相关名称）
• 如果您的主机或防火墙允许，请阻止到公司列出的域名的外发连接

第二，查找入侵者可能留下的其他变更。公司指出了以下位置（具体文件名、名称模式和标记见其通告页面）：

• 您不认识的管理员账户（公司已公布需要查找的用户名和邮箱模式）
• 其他插件文件夹、主题中以及WordPress始终加载的插件文件夹中的可疑PHP文件
• 一个伪装成WordPress核心组成部分、但不应存在的文件（公司已命名）
• 在.htaccess中添加的、使文件在通常情况下不会作为PHP运行时却以PHP运行的规则
• 服务器crontab和WordPress计划事件中您未添加的条目
• uploads/文件夹中的PHP文件；请从官方来源重新安装其他插件和主题
• 服务器端：SSH授权密钥、其他用户的crontab、正在运行的进程，以及Web服务器可写入的网站外部位置

在共享主机上，如果您无法自行查看服务器端项目，公司请您请主机服务商进行检查。如需更全面的排查思路，请参阅如何检查网站或服务器是否被入侵。

公司表示，即使从备份恢复，此步骤也是必不可少的。假定被入侵网站能够访问的所有凭证和密钥均已泄露，并替换为新值：

• WordPress账户密码，以及网站能够访问的其他任何密码
• wp-config.php中的数据库用户名和密码
• wp-config.php中的安全密钥和盐值（本站注：重新生成后，所有人都会被登出）
• 支付网关密钥、SMTP凭证及其他API密钥（本站注：请在各服务的控制台中重新签发，并禁用旧密钥）
• 托管控制面板、FTP/SFTP和SSH的密码或密钥，以及保存在环境变量中的任何密钥
• 管理员账户的双重身份验证，必要时重置

请用新值更新网站设置及所有相连服务。如果您不确定应更换哪些凭证，公司建议与托管服务商或安全专业人员一起审查。关于API密钥的处理，请参阅.env文件与API密钥。

清理完成后，公司请您：

• 使用可靠的安全工具（例如安全插件）运行扫描
• 运行WP-CLI的wp core verify-checksums，确认WordPress核心文件与官方发行版一致
• 对插件文件运行wp plugin verify-checksums --all。付费插件可能不支持此功能，因此请将其与官方来源的干净副本进行比对
• 在随后几天监控外发连接和异常活动，并检查已删除的文件是否重新出现

如果已删除的文件重新出现或异常活动持续，清理可能不彻底。公司请您回到第3步的第二部分，并由托管服务商或安全专业人员进行调查。

干净版本为Rank Math PRO v3.0.124。公司请您直接打开rankmath.com，登录您的账户，并从下载页面下载。

公司表示，其绝不会通过电子邮件发送登录或下载链接。请将要求您点击密码重置或下载链接的未经请求的邮件视为可疑。公司还表示，部分用户可能无法登录，可能需要重置账户密码。关于如何辨别虚假邮件，请参阅什么是网络钓鱼。

这次，公司首选的恢复方式是“从时段之前的备份恢复”。但如果您的备份只保留一个版本，那么在10月16日傍晚生成的备份将覆盖最后一个干净状态。如果您在通告发布一天或更久之后才注意到问题，可能已经没有可以恢复的干净版本。

第一步，请检查每日备份是否至少保留七天，是否存储在网站之外的位置（托管账户之外），并且是否同时包含数据库和文件。请参阅备份与恢复要点。

清理后检查插件文件时，公司指出付费插件可能无法使用校验和验证，建议改为与官方来源的干净副本进行比对。与在WordPress.org上分发的插件不同，付费插件可能没有此类验证。

如果您为安装的每个版本保存了从供应商下载的ZIP文件，之后便可以检查服务器上的文件是否与您当初安装的文件一致。关于WordPress整体加固，请参阅WordPress安全。

公司要求用户更改的凭证涵盖数据库、盐值、支付、邮件发送、托管面板、FTP和SSH。如果只在发现入侵后才开始查找，容易遗漏。

请为每个网站保存一页清单，注明各个密钥存放在哪里，以及在哪个控制台重新签发，以便在此类事件发生时按顺序更换。若托管服务商本身遭遇入侵，同一份清单也会有所帮助（托管服务商遭遇入侵时该怎么办）。