Rank Math PRO 3.0.123 遭植入惡意程式（2026年10月）：受影響對象與 WordPress 網站管理者該怎麼做

公司請您在 WordPress 後台的「外掛」下確認已安裝的 Rank Math PRO 版本。受影響的副本為在此時段內下載或更新的 3.0.123：

• UTC：2026年10月15日 20:02 至 2026年10月16日 07:12
• 日本時間：2026年10月16日 5:02 至 16:12

公司針對各種情況給出不同的行動指引。

若您只使用 WordPress.org 上的免費版 Rank Math SEO 外掛，則不受影響，無需採取任何行動。

公司建議的復原方式，是還原網站檔案與資料庫，並使用在2026年10月15日 20:02 UTC 之前建立的備份。換算為日本時間，即2026年10月16日5:02之前建立的備份。

還原後，請執行安全掃描、依第4步更換憑證，並最後安裝 3.0.124。若您不確定如何還原備份，公司建議詢問您的主機供應商。

根據公司說法，惡意程式可能在每次有人造訪網站時重建其隱藏後門（即入侵者的回入途徑）。因此公司要求您先完成所有阻止其自我重建的步驟，然後才處理其他事項，並在之後才尋找其他可疑檔案。若順序顛倒，您已移除的檔案可能會再次出現。

首先（在進入下一步前，請先完成以下所有項目）：

• 使用主機的檔案管理員或 FTP，刪除整個 Rank Math PRO 外掛資料夾（rank-math-pro）。僅停用並不足夠
• 刪除資料庫選項表中的惡意項目，公司已列出其名稱
• 若主機或防火牆允許，封鎖往公司所列網域的對外連線

其次，尋找入侵者可能留下的其他變更。公司指出以下位置（具體檔名、名稱模式與標記見其公告頁面）：

• 您不認識的管理員帳號（公司已公布需要比對的使用者名稱與電子郵件模式）
• 其他外掛資料夾、佈景主題中，以及 WordPress 總是會載入之外掛資料夾中的可疑 PHP 檔案
• 偽裝成 WordPress 核心一部分、但不屬於該處的檔案（公司已點名）
• 在 .htaccess 中新增、使原本不會以 PHP 執行的檔案得以執行的規則
• 伺服器 crontab 與 WordPress 排程事件中，您未曾新增的項目
• uploads/ 資料夾中的 PHP 檔案；其他外掛與佈景主題請從官方來源重新安裝
• 伺服器端：SSH 授權金鑰、其他使用者的 crontab、正在執行的程序，以及網頁伺服器可寫入的網站外部位置

在共享主機上，若您無法自行查看伺服器端項目，公司請您請主機業者代為檢查。若需要更完整的排查方向，請參閱如何檢查網站或伺服器是否遭入侵。

公司表示，即使您已從備份還原，此步驟仍必要。請假設遭入侵的網站可觸及的所有憑證與機密都已外洩，並以新值取代：

• WordPress 帳號密碼，以及網站可觸及的其他密碼
• wp-config.php 中的資料庫帳號與密碼
• wp-config.php 中的安全金鑰與鹽值（本站註：重新產生後，所有人都會被登出）
• 付款閘道金鑰、SMTP 憑證及其他 API 金鑰（本站註：請在各服務的控制台重新發放，並停用舊金鑰）
• 主機控制台、FTP/SFTP 與 SSH 的密碼或金鑰，以及存放在環境變數中的任何機密
• 管理員帳號的雙因素驗證，必要時重設

請以新值更新網站設定及所有相關服務。若您不確定應更換哪些憑證，公司建議與主機業者或資安專業人員一同檢視。關於 API 金鑰的處理，請參閱 .env 檔案與 API 金鑰。

清理完成後，公司請您：

• 使用信譽良好的資安工具（例如資安外掛）執行掃描
• 執行 WP-CLI 的 wp core verify-checksums，確認 WordPress 核心檔案與官方發行版相符
• 對外掛檔案執行 wp plugin verify-checksums --all。付費外掛可能不支援此功能，因此請改與官方來源的乾淨副本比對
• 在接下來數日內觀察對外連線與異常活動，並檢查已移除的檔案是否再次出現

若已移除的檔案重新出現，或異常活動持續，表示清理可能不完整。公司請您回到第3步的第二部分，並請主機業者或資安專業人員進行調查。

乾淨版本為 Rank Math PRO v3.0.124。公司請您直接開啟 rankmath.com，登入帳號，並從您的下載頁面下載。

公司表示，絕不會以電子郵件寄送登入或下載連結。請將要求您點擊密碼重設或下載連結的未經請求郵件視為可疑。公司也表示，部分使用者可能無法登入，可能需要重設帳號密碼。若需分辨偽造郵件，請參閱什麼是網路釣魚。

此次公司建議的復原方式是「從時段前的備份還原」。但若您的備份只保留一代，在10月16日傍晚建立的備份將會覆蓋最後一個乾淨狀態。若您在公告發布一天以上後才察覺，可能已無乾淨的版本可供還原。

第一步，請確認每日備份至少保留七天，並儲存在網站以外的地方（主機帳號之外），且同時包含資料庫與檔案。請參閱備份與復原基本功。

清理後若要檢查外掛檔案，公司指出付費外掛可能無法使用檢查碼驗證，並建議改與官方來源的乾淨副本比對。與 WordPress.org 上發布的外掛不同，付費外掛可能沒有此類驗證機制。

若您為每個安裝的版本保存了從廠商下載的 ZIP 檔，日後便可比對伺服器上的檔案是否與您當初安裝的相同。關於整體強化 WordPress，請參閱 WordPress 安全。

公司要求使用者更換的憑證涵蓋資料庫、鹽值、付款、郵件發送、主機控制台、FTP 與 SSH。若等到發現入侵後才開始搜尋，容易遺漏。

請為每個網站保留一頁清單，記錄各項機密存放於何處，以及在哪個控制台重新發放，以便在類似情況發生時能依序更換。若您的主機供應商本身遭入侵，同一份清單也有幫助（主機供應商遭入侵時該怎麼做）。