Najważniejsze wnioski w pigułce
Co się stało
- Wersja Rank Math PRO 3.0.123 pobierana od 15 października 2026 r., godz. 20:02 UTC, do 16 października 2026 r., godz. 07:12 UTC zawierała złośliwy kod.
- Producent usunął zainfekowane pliki i udostępnił czystą wersję 3.0.124.
- Darmowa wersja Rank Math SEO z repozytorium WordPress.org nie jest objęta incydentem.
Kogo to dotyczy
- Wtyczka zainstalowana i aktywowana w tym czasie oznacza, że stronę trzeba traktować jak przejętą.
- Wtyczka zainstalowana, ale nieaktywowana wymaga usunięcia plików, instalacji wersji 3.0.124 i skanu bezpieczeństwa.
- Samo pobranie pliku bez instalacji nie wskazuje na infekcję.
Co zrobić
- Najbezpieczniej przywrócić stronę i bazę danych z kopii sprzed 15 października, godz. 20:02 UTC (22:02 CEST).
- Przy ręcznym czyszczeniu najpierw trzeba odciąć mechanizm, który odtwarza backdoor, a dopiero potem usuwać pozostałe ślady.
- Zmiana wszystkich haseł, kluczy API i kluczy bezpieczeństwa WordPressa jest obowiązkowa niezależnie od wybranej metody.
- Wersję 3.0.124 pobieraj wyłącznie po samodzielnym zalogowaniu się na rankmath.com, nigdy z linku w mailu.
Co się stało i kogo dotyczy incydent
Rank Math to jedna z najpopularniejszych wtyczek SEO dla WordPressa, dlatego każdy problem z jej bezpieczeństwem dotyka ogromnej liczby stron. Producent poinformował, że wersja PRO 3.0.123, pobierana w oknie od 15 października 2026 r., godz. 20:02 UTC, do 16 października 2026 r., godz. 07:12 UTC, zawierała złośliwe oprogramowanie. Do przejęcia strony mogło dojść po aktywowaniu wtyczki. Zainfekowane pliki zostały wycofane, a w ich miejsce pojawiła się czysta wersja 3.0.124.
Ważne doprecyzowanie: problem dotyczy wyłącznie płatnej wersji PRO. Jeśli korzystasz z darmowego Rank Math SEO instalowanego z WordPress.org, nie musisz nic robić. To typowy przykład ataku na łańcuch dostaw. Złośliwy kod nie trafił na stronę przez lukę w jej zabezpieczeniach, tylko razem z aktualizacją zaufanego oprogramowania. Właśnie dlatego tego typu incydenty są tak groźne - automatyczne aktualizacje, zwykle zalecane ze względów bezpieczeństwa, tym razem stały się drogą infekcji.
Jak sprawdzić, czy Twoja strona jest zagrożona
Pierwszy krok jest prosty: zaloguj się do panelu WordPressa, przejdź do zakładki „Wtyczki” i sprawdź zainstalowaną wersję Rank Math PRO. Jeśli wersja 3.0.123 została zainstalowana i aktywowana we wskazanym okresie, producent zaleca traktować stronę jako przejętą i przejść pełną procedurę naprawczą. Jeśli była zainstalowana, ale nigdy nieaktywowana, wystarczy usunąć jej pliki, zainstalować wersję 3.0.124 i profilaktycznie uruchomić skan bezpieczeństwa. Samo pobranie archiwum bez instalacji, zgodnie z informacjami producenta, nie wskazuje na infekcję.
Jeśli strona była aktywna z zainfekowaną wtyczką, najlepszą drogą jest przywrócenie witryny i bazy danych z kopii zapasowej sprzed 15 października, godz. 20:02 UTC. Odpowiada to godzinie 22:02 czasu polskiego (CEST). Po przywróceniu trzeba wykonać skan narzędziem takim jak Wordfence lub Sucuri, zmienić wszystkie dane dostępowe i dopiero wtedy zainstalować czystą wersję 3.0.124. Jeśli nie wiesz, jak odtworzyć kopię, poproś o pomoc dostawcę usług hostingu www . Większość firm hostingowych przechowuje automatyczne kopie z ostatnich dni.
Ręczne czyszczenie - kolejność ma znaczenie
Gdy kopii zapasowej nie ma, pozostaje ręczne usuwanie infekcji. Tu kolejność działań jest kluczowa, bo złośliwy kod potrafi odtworzyć ukryty backdoor przy każdej wizycie na stronie. Najpierw usuń cały folder rank-math-pro przez menedżer plików lub FTP. Sama dezaktywacja wtyczki nie wystarczy. Następnie w tabeli wp_options (np. przez phpMyAdmin) usuń wpisy, których option_name to _uf6qdn2hmm, t8krdk990phb lub _np5pvf754c, a jeśli to możliwe, zablokuj połączenia wychodzące do domeny rank1cdn.com.
Dopiero po odcięciu tego mechanizmu można szukać pozostałych zmian wprowadzonych przez atakującego. Podejrzane pliki PHP mogą znajdować się w wp-content/mu-plugins/, w folderach innych wtyczek, w katalogach inc/, includes/ i lib/ motywów niestandardowych oraz w folderze includes/ samego Rank Math. Sygnałem ostrzegawczym jest kod łączący base64_decode z pętlami XOR, klucz xmmqhn, funkcja proc_open lub kod obsługujący gniazda PHP-FPM. Warto też sprawdzić, czy istnieje plik wp-includes/class-wp-cache-util.php. Nie jest to oryginalny plik WordPressa, więc należy go usunąć, a pliki rdzenia zweryfikować poleceniem wp core verify-checksums.
Lista miejsc do przejrzenia jest długa. Zacznij od kont administratorów - podejrzane są loginy zaczynające się od wpsupport_ z losowymi znakami oraz adresy e-mail w domenie wp-mail[.]net, a listę wygenerujesz poleceniem wp user list --role=administrator. Sprawdź też plik .htaccess pod kątem reguł pozwalających wykonywać pliki .cache jako PHP oraz harmonogram zadań. W systemowym crontabie szukaj wpisów oznaczonych #ms6v46, a zaplanowane zdarzenia WordPressa wyświetlisz poleceniem wp cron event list. Na koniec przeinstaluj wtyczki i motywy z oficjalnych źródeł, przejrzyj katalog uploads/ pod kątem plików PHP i poproś hostingodawcę o kontrolę środowiska serwera, w tym kluczy SSH, procesów i crontabów innych użytkowników systemu.
Hasła, klucze i weryfikacja - etapu nie wolno pominąć
Zmiana danych dostępowych jest obowiązkowa także wtedy, gdy strona została przywrócona z kopii zapasowej. Trzeba założyć, że wszystko, do czego zainfekowana witryna miała dostęp, mogło wyciec. Dotyczy to haseł do kont WordPressa, danych logowania do bazy w wp-config.php oraz kluczy bezpieczeństwa i soli (salts) WordPressa. Wymiany wymagają też klucze bramek płatniczych, dane SMTP oraz wszystkie klucze API
zapisane w ustawieniach i plikach konfiguracyjnych. Do tego dochodzą hasła do panelu hostingu, FTP/SFTP i SSH, zmienne środowiskowe oraz przegląd uwierzytelniania dwuskładnikowego administratorów.
Po czyszczeniu przychodzi czas na weryfikację. Uruchom ponownie skaner bezpieczeństwa, sprawdź sumy kontrolne rdzenia (wp core verify-checksums) i wtyczek (wp plugin verify-checksums --all). Pamiętaj, że dla wtyczek premium sumy kontrolne często nie są dostępne, więc trzeba je porównać z czystą kopią z oficjalnego źródła. Przez kolejne dni monitoruj połączenia wychodzące i sprawdzaj, czy usunięte pliki nie wracają. Jeśli wracają, czyszczenie było niepełne i warto oddać sprawę specjaliście od bezpieczeństwa.
Co z tego wynika dla właścicieli stron i ich widoczności
Przejęta strona to nie tylko ryzyko wycieku danych, ale też realne zagrożenie dla pozycji w wyszukiwarce. Zainfekowane witryny bywają wykorzystywane do wstrzykiwania spamu, ukrytych linków lub przekierowań, a Google może je oznaczyć jako niebezpieczne. Po każdym incydencie warto zajrzeć do raportu „Problemy z bezpieczeństwem” w Google Search Console i sprawdzić, czy w indeksie nie pojawiły się podejrzane adresy. Szybka reakcja skraca czas, w którym strona traci ruch i zaufanie użytkowników.
Ten incydent przypomina też o kilku nawykach, które warto mieć niezależnie od Rank Math. Regularne, przechowywane poza serwerem kopie zapasowe zamieniają godziny ręcznego czyszczenia w kilkuminutowe przywrócenie. Dodatkowa warstwa ochrony, na przykład Cloudflare skonfigurowany pod WordPressa , oraz hosting z dobrym wsparciem technicznym znacząco ułatwiają reakcję w kryzysie. Uważaj też na phishing. Rank Math zapowiada, że nigdy nie wysyła linków do logowania ani pobierania w wiadomościach e-mail, więc każdy taki mail należy traktować jako podejrzany.
Podsumowanie
Jeśli korzystasz z Rank Math PRO, sprawdź wersję wtyczki jeszcze dziś. Przy aktywowanej wersji 3.0.123 przywróć stronę z kopii sprzed incydentu albo przejdź pełne ręczne czyszczenie we wskazanej kolejności. W obu przypadkach zmień wszystkie dane dostępowe i zainstaluj czystą wersję 3.0.124 pobraną bezpośrednio z konta na rankmath.com.
