Ночью админ ставит свежий апдейт на WordPress-сайт, утром трафик не проседает, а в логах уже сидит чужой код. Именно так выглядит история с Rank Math PRO: платный SEO-плагин раздавал заражённые сборки примерно 11 часов, и на заражённых сайтах бэкдор мог самовосстанавливаться при каждом визите.

Проблема здесь не только в одном плагине. Такие инциденты бьют по доверию к цепочке обновлений: если заражённый пакет пришёл с официального канала, сайт часто выглядит нормальным до первой тщательной проверки. Подобные случаи уже разбирали и на других продуктах — см. разбор подмены обновлений AOMEI Backupper и материал о том, как цепочка уязвимостей приводит к бэкдору.

Что произошло и кого это касается

По данным Rank Math, заражённые копии Rank Math PRO распространялись с 20:02 UTC 15 октября до 07:12 UTC 16 октября. Речь идёт только о платной версии плагина, которую скачивают с rankmath.com или получают через обновление из личного кабинета.

Самый важный вывод простой: если сайт установил и активировал одну из этих сборок, его надо считать скомпрометированным. Номер версии тут не спасает — опасными могли оказаться именно копии, доставленные в указанное окно.

Есть и менее плохие сценарии. Если плагин скачали, но не ставили и не включали, признаков заражения именно из-за этого инцидента может не быть. Если установили, но не активировали, файл плагина всё равно лучше удалить и потом поставить чистую версию 3.0.124 из аккаунта Rank Math.

Что умеет вредоносный код

Обе опубликованные сводки не раскрывают весь разбор кода, но картина уже понятна. Вредонос мог возвращать скрытый бэкдор обратно после удаления, создавать новые учётные записи администратора, подсовывать поддельный системный файл WordPress, менять правила в .htaccess и запускать PHP-код через .cache.

Отдельный риск — утечка секретов. Под угрозой могли оказаться пароли WordPress, доступ к базе данных, ключи API, доступы к почте, платежным шлюзам, панели хостинга, FTP, SFTP и SSH. После такой истории владелец сайта должен исходить из худшего сценария: если сервер был затронут, считать раскрытыми все чувствительные данные, до которых добрался сайт.

Какой сценарий выбрать: восстановление, чистка или проверка

Rank Math советует в первую очередь откатываться на резервную копию, если она есть и сделана до 20:02 UTC 15 октября. Это самый надёжный путь: восстановить сайт и базу, прогнать проверку, сменить все пароли и только потом ставить чистую версию.

Если чистого бэкапа нет, остаётся ручная чистка. Она неудобнее и дольше, зато не оставляет ложного ощущения безопасности. Тут важен порядок: сначала удалить папку rank-math-pro, затем убрать подозрительные записи из базы и только после этого искать следы в файлах, заданиях и учётных записях.

Есть и третий путь — для тех, кто не понимает, ставился ли плагин в опасное окно вообще. Тогда нужен полноценный аудит хостинга и файловой системы, а не просто переустановка плагина. Это как в истории с уязвимостями в ядре или сервисных компонентах: проверка контрольных сумм и журналов часто важнее поспешной «починки».

Кому что подходит

Если у вас небольшой сайт с резервными копиями, лучше сразу идти путём восстановления. Для агентств и магазинов с заказами и платёжными модулями это ещё и самый быстрый способ сократить простой.

Если бэкапа нет, но есть доступ к серверу и опытный админ, нужна ручная чистка с последующей сменой всех секретов. А вот если сайт обслуживает подрядчик, который не может быстро объяснить, что именно он менял, не стоит ограничиваться обновлением плагина — нужен полноценный разбор сервера, баз данных и учётных записей.

Практический чек-лист

  • Проверьте, ставился ли Rank Math PRO в промежутке с 20:02 UTC 15 октября до 07:12 UTC 16 октября.
  • Если ставился и активировался, считайте сайт скомпрометированным.
  • При наличии чистой резервной копии восстановите сайт и базу из периода до инцидента.
  • Если бэкапа нет, удалите папку rank-math-pro, а потом ищите следы в mu-plugins, других плагинах, темах, uploads и базе.
  • Смените все пароли и ключи: админку WordPress, базу данных, почту, FTP, SFTP, SSH, панель хостинга и API-ключи.
  • Проверьте новые администраторские учётные записи и задания в cron.
  • Сравните файлы WordPress с эталонными контрольными суммами.
  • Если сайт работает в открытой сети или через чужую инфраструктуру, используйте средство для приватной передачи трафика как дополнительный слой защиты переписки и метаданных.
  • Не скачивайте плагин из писем и не доверяйте ссылкам вне личного кабинета разработчика.
Поделиться: