شرکت Rank Math اعلام کرده است که برخی از نسخه‌های افزونه Rank Math SEO PRO نسخه 3.0.123 حاوی بدافزار بوده‌اند. بر اساس گزارش‌های منتشر شده، نسخه‌های آسیب‌پذیر در بازه زمانی ۱۵ اکتبر ۲۰۲۶ (ساعت ۲۰:۰۲ UTC) تا ۱۶ اکتبر ۲۰۲۶ (ساعت ۰۷:۱۲ UTC) دانلود یا از طریق به‌روزرسانی نصب شده‌اند.
جزئیات فنی و تحلیل آسیب‌پذیری
این حادثه یک حمله زنجیره تأمین (Supply-chain compromise) است که در آن کدهای مخرب به طور مستقیم در بسته‌های توزیع شده افزونه تزریق شده‌اند. این آسیب‌پذیری با شناسه CVE-2026-111862 ثبت شده و امتیاز بحرانی 9.8 CVSS را دریافت کرده است. در صورتی که نسخه آلوده در وب‌سایت فعال شده باشد، کل سیستم باید به عنوان «مخترق شده» (Compromised) در نظر گرفته شود.
قابلیت‌های بدافزار و اثرات آن
بدافزار مذکور پس از فعال‌سازی، می‌تواند اقدامات زیر را انجام دهد:
- ایجاد دسترسی‌های پایدار (Persistence) و ایجاد Backdoorهای مخفی در هنگام بازدید کاربران از سایت.
- برقراری ارتباط با دامنه rank1cdn[.]com.
- سرقت اطلاعات حساس از جمله رمزهای عبور WordPress، اعتبارنامه‌های دیتابیس، API Keyها و سایر اسرار (Secrets) قابل دسترس در سرور.
- ایجاد حساب‌های مدیر (Administrator) غیرمجاز و تغییرات در سطح سیستم (System Cron).
راهکارهای مقابله و پاک‌سازی
تأکید شده است که صرفاً به‌روزرسانی افزونه به نسخه 3.0.124 برای سایت‌های آلوده کافی نیست، زیرا بدافزار ممکن است فایل‌ها، حساب‌های کاربری یا تسک‌های زمان‌بندی شده‌ای را در نقاط دیگر سرور ایجاد کرده باشد. توصیه‌های امنیتی برای مدیران سیستم به شرح زیر است:
- بازگردانی از بک‌آپ: در صورت امکان، وب‌سایت و دیتابیس را از یک نسخه پشتیبان سالم (ایجاد شده قبل از ۱۵ اکتبر ۲۰۲۶) بازیابی کنید.
- پاک‌سازی دستی: در صورت نبود بک‌آپ، ابتدا پوشه کامل افزونه
rank-math-proرا حذف کنید. سپس ورودی‌های مشکوک در جدولwp_optionsبا نام‌های_uf6qdn2hmm،t8krdk990phbو_np5pvf754cرا پاک کنید. - تغییر اعتبارنامه‌ها: تمامی رمزهای عبور وردپرس، دیتابیس، کلیدهای امنیتی (Security Keys & Salts)، دسترسی‌های FTP/SSH و API Keyها را فوراً تغییر دهید.
- مسدودسازی شبکه: ارتباطات خروجی به دامنه
rank1cdn[.]comرا در سطح فایروال یا هاست مسدود کنید.
شاخص‌های آلودگی (IoCs)
برای شناسایی سرایت بدافزار، موارد زیر را بررسی کنید:
- حساب‌های کاربری: وجود نام‌های کاربری مدیر که با
wpsupport_شروع می‌شوند یا ایمیل‌هایی با پسوند@wp-mail[.]netدارند. - فایل‌های مشکوک: وجود فایل
wp-includes/class-wp-cache-util.php(که یک فایل هسته استاندارد وردپرس نیست) یا فایل‌های.cacheحاوی کدهای PHP. - کدهای مخرب: وجود توابع
base64_decodeهمراه با حلقه‌های XOR یا استفاده ازproc_openدر مکان‌های غیرمنتظره. - تسک‌های سیستم: وجود مارکر
#ms6v46در تسک‌های زمان‌بندی شده (Cron jobs) کاربر وب‌سرور.
