افزونه محبوب Rank Math PRO برای وردپرس، که یکی از ابزارهای پرکاربرد در حوزه سئو (SEO) است، هدف یک حمله زنجیره تأمین (Supply Chain Attack) قرار گرفته است. در پی این حادثه، نسخه‌های آلوده این افزونه در اختیار کاربران قرار گرفته که می‌تواند منجر به تسلط کامل مهاجمان بر وب‌سایت‌ها شود.
جزئیات حمله و نسخه‌های آلوده
بر اساس گزارش‌های منتشر شده، بسته‌های مربوط به نسخه 3.0.123 حاوی بدافزاری هستند که در صورت فعال‌سازی افزونه، امکان کنترل کامل سایت را به مهاجمان می‌دهد. بازه زمانی حساس برای کاربرانی که احتمال سرایت (Infection) در آن‌ها وجود دارد، بین ساعت 20:02 UTC روز 15 اکتبر 2026 تا ساعت 07:12 UTC روز 16 اکتبر 2026 می‌باشد.
تیم توسعه‌دهنده Rank Math بلافاصله فایل‌های آلوده را حذف و نسخه پاکسازی شده v3.0.124 را منتشر کرده است.
رفتار بدافزار و تکنیک‌های مهاجمان
این بدافزار از تکنیک‌های پیشرفته برای حفظ حضور (Persistence) خود استفاده می‌کند، از جمله:
- ایجاد مجدد یک درِ پشتی (Backdoor) مخفی در هر بار بازدید از صفحات سایت.
- جعل فایل‌های هسته (Core Files) وردپرس.
- تغییر فایل‌های
.htaccessبرای اجرای کدهای PHP از طریق فایل‌های.cache. - ایجاد وظایف زمان‌بندی شده (Cron Jobs) و تغییر در سایر افزونه‌ها و قالب‌ها.
- دسترسی به اطلاعات حساس مانند اعتبارنامه‌ها (Credentials)، کلیدهای API و سایر اسرار سیستم.
علاوه بر محیط وردپرس، مهاجمان ممکن است تلاش کنند به سطح سیستم‌عامل نیز دسترسی پیدا کنند؛ بنابراین بررسی فایل‌های authorized_keys در SSH و فرآیندهای مشکوک در سطح سرور نیز ضروری است.
اقدامات اصلاحی و ضروری
کاربرانی که در بازه زمانی مذکور نسخه 3.0.123 را نصب یا فعال کرده‌اند، باید وب‌سایت خود را به عنوان آلوده در نظر بگیرند و اقدامات زیر را انجام دهند:
- بازیابی از بک‌آپ: بازگردانی سایت از یک نسخه پشتیبان سالم که قبل از وقوع حادثه تهیه شده است.
- پاکسازی دستی: در صورت عدم امکان بازیابی، پوشه افزونه Rank Math PRO را حذف کرده، ورودی‌های مخرب در پایگاه داده را پاک کنید و دامنه
rank1cdn[.]comرا مسدود نمایید. - بررسی فایل‌ها: جستجو و حذف فایل‌های PHP مشکوک و حساب‌های مدیر (Administrator) ناشناس.
- تغییر رمزها: پس از اطمینان از پاک بودن سایت، تمامی رمزهای عبور را تغییر دهید.
- نصب نسخه سالم: استفاده از آخرین نسخه منتشر شده و امن افزونه.
به‌روزرسانی (اکتبر 19, 2026 — The Hacker News)
به‌روزرسانی:
تحقیقات جدید نشان می‌دهد که حمله زنجیره تأمین (Supply Chain Attack) به افزونه Rank Math PRO، در بازه زمانی مشخص بین ساعت ۲۰:۰۲ UTC روز ۱۵ اکتبر تا ۰۷:۱۲ UTC روز ۱۶ اکتبر رخ داده است. این حادثه با شناسه CVE-2026-111862 ثبت شده و با امتیاز شدت (Severity Score) بسیار بالای ۹.۸ رتبه‌بندی شده است. بدافزار شناسایی شده یک درگاه پشتی (Backdoor) است که قابلیت خود-بازیابی (Self-restoring) دارد؛ به این معنا که حتی پس از حذف فایل‌های مخرب، می‌تواند مجدداً در سیستم ایجاد شود.
نسخه پاکسازی شده و امن این افزونه با شماره 3.0.124 منتشر شده است. متخصصان تأکید می‌کنند که صرفاً آپدیت کردن افزونه برای حذف آثار حمله کافی نیست. کاربران آسیب‌دیده باید مراحل زیر را به دقت دنبال کنند:
- بازیابی سایت از یک بک‌آپ (Backup) سالم که مربوط به قبل از ساعت ۲۰:۰۲ UTC روز ۱۵ اکتبر باشد.
- تغییر تمامی رمزهای عبور و اعتبارنامه‌ها (Credentials)، از جمله رمزهای مدیریت وردپرس، دیتابیس (Database)، کلیدهای API، و دسترسی‌های SSH/FTP.
- نصب نسخه 3.0.124 مستقیماً از طریق حساب کاربری در سایت رسمی Rank Math.
این حادثه نشان‌دهنده روند نگران‌کننده حملات زنجیره تأمین در اکوسیستم وردپرس است، چرا که پیش از این نیز افزونه‌های معتبری مانند Smart Slider 3 Pro و ShapedPlugin هدف حملات مشابه قرار گرفته بودند.
به‌روزرسانی (اکتبر 20, 2026 — BleepingComputer)
به‌روزرسانی:
تحقیقات تکمیلی نشان می‌دهد که نسخه 3.0.123 افزونه Rank Math PRO بین تاریخ ۱۵ تا ۱۶ اکتبر مورد حمله قرار گرفته و نسخه‌های آلوده در این بازه زمانی از طریق سایت رسمی توزیع شده‌اند. نسخه پاکسازی شده و امن با شماره 3.0.124 منتشر شده است.
این بدافزار (Malware) با ایجاد یک فایل Backdoor در مسیر wp-includes/class-wp-cache-util.php، دسترسی‌های مخفی و پایدار ایجاد می‌کند. یکی از خطرناک‌ترین قابلیت‌های این حمله، توانایی سرقت اعتبارنامه‌ها (Credentials)، کلیدهای API و اطلاعات حساس مربوط به سرویس‌های ابری از جمله AWS، Cloudflare، Google Cloud و Azure است. این بدافزار برای ارتباط با زیرساخت خود از دامنه rank1cdn[.]com استفاده می‌کند.
مدیران سایت‌هایی که در بازه زمانی مذکور از نسخه آلوده استفاده کرده‌اند، باید اقدامات زیر را به صورت فوری انجام دهند:
- بازیابی کامل فایل‌ها و پایگاه داده (Database) از بک‌آپ‌های (Backup) سالم و قدیمی‌تر از ۱۵ اکتبر.
- حذف کامل پوشه افزونه و بررسی دقیق ورودی‌های مشکوک در دیتابیس.
- بازنشانی (Rotate) تمامی رمزهای عبور، کلیدهای API، SSH keys و Salts.
- مسدودسازی تمامی ارتباطات خروجی (Outbound) به سمت دامنه
rank1cdn[.]com.
