هک افزونه Rank Math PRO؛ آپدیت آلوده روی سایت‌های وردپرسی

هک افزونه Rank Math PRO؛ نسخه پولی افزونه سئوی Rank Math، یعنی Rank Math PRO، برای چند ساعت به بدافزار آلوده شده بود. هر سایتی که نسخه آلوده را نصب و فعال کرده باشد، از نگاه خود Rank Math «هک‌شده» حساب می‌شود؛ چون بدافزار یک در پشتی روی سایت می‌گذارد که با هر بازدید از سایت دوباره خودش را می‌سازد.

Rank Math این موضوع را ۲۴ مهر در یک اطلاعیه امنیتی اعلام کرد و شرکت امنیتی Wordfence هم ۲۵ مهر هشدار جداگانه‌ای منتشر کرد. شدت این حادثه با شناسه CVE-2026-111862 نمره ۹٫۸ از ۱۰ گرفته است.

بازه آلودگی

نسخه‌هایی که از سایت rankmath.com دانلود شده یا از راه به‌روزرسانی خودکار رسیده‌اند، در این بازه آلوده بودند:

• از: چهارشنبه ۲۳ مهر ۱۴۰۵، ساعت ۲۳:۳۲ به وقت تهران
• تا: پنجشنبه ۲۴ مهر ۱۴۰۵، ساعت ۱۰:۴۲ به وقت تهران

شماره نسخه نشان نمی‌دهد کپی شما آلوده است یا نه؛ ملاک زمان دانلود یا نصب است. نسخه سالم و تازه 3.0.124 است.

آیا سایت من درگیر است؟

• نسخه رایگان Rank Math (از مخزن وردپرس) در این حادثه نیست و فقط نسخه PRO آسیب دیده است.
• نسخه PRO را در آن بازه نصب و فعال کرده‌اید: سایت را هک‌شده بدانید، حتی اگر بعدا به 3.0.124 به‌روز کرده باشید.
• نصب کرده‌اید ولی هیچ‌وقت فعال نکرده‌اید: پوشه افزونه را پاک کنید، نسخه 3.0.124 را از حساب Rank Math نصب کنید و سایت را اسکن کنید.
• فقط دانلود کرده‌اید و نصب نکرده‌اید: این حادثه به‌تنهایی نشانه نفوذ نیست.

بدافزار چه کار می‌کند؟

به گفته Rank Math، مهاجم ممکن است فایل‌های در پشتی PHP را در پوشه افزونه‌های دیگر، قالب‌ها و پوشه mu-plugins گذاشته باشد، حساب مدیر جعلی ساخته باشد، یک فایل جعلی به نام هسته وردپرس اضافه کرده باشد، فایل htaccess را طوری تغییر داده باشد که فایل‌های cache. مثل PHP اجرا شوند، و کار زمان‌بندی‌شده و کلید SSH اضافه کرده باشد. هر رمز، کلید API یا اطلاعات پایگاه داده‌ای که سایت به آن دسترسی داشته، لو رفته فرض می‌شود.

پاکسازی قدم به قدم

بهترین راه، بازگردانی پشتیبان است. اگر از سایت و پایگاه داده پشتیبانی دارید که قبل از ساعت ۲۳:۳۲ روز ۲۳ مهر گرفته شده، همان را بازگردانید، سایت را اسکن کنید، همه رمزها را عوض کنید و بعد نسخه 3.0.124 را نصب کنید. اگر پشتیبان ندارید، بسیاری از شرکت‌های هاستینگ پشتیبان روزانه نگه می‌دارند؛ از پشتیبانی هاست بپرسید.

اگر پشتیبان سالم ندارید، این سه کار را قبل از هر کار دیگری انجام دهید:

1. کل پوشه rank-math-pro را از طریق فایل‌منیجر هاست یا FTP پاک کنید؛ غیرفعال کردن افزونه کافی نیست.
2. در جدول wp_options این سه گزینه را پیدا و حذف کنید: _uf6qdn2hmm، t8krdk990phb و _np5pvf754c.
3. اگر هاست یا فایروال اجازه می‌دهد، ارتباط خروجی به دامنه rank1cdn.com را مسدود کنید.

بعد این نشانه‌ها را بگردید:

• فایل wp-includes/class-wp-cache-util.php؛ این فایل جزو هسته وردپرس نیست.
• کاربران مدیری که نامشان با wpsupport_ شروع می‌شود یا ایمیلشان به wp-mail.net ختم می‌شود.
• کد PHP با base64_decode و حلقه XOR یا کلید xmmqhn، در پوشه‌های mu-plugins و uploads و افزونه‌ها و قالب‌ها.
• قاعده‌ای در htaccess که فایل‌های cache. را با PHP اجرا می‌کند، و خطوط کرون با برچسب #ms6v46.

Wordfence تأکید می‌کند که پیدا نکردن این نشانه‌ها به‌تنهایی ثابت نمی‌کند سایت پاک است.

همه رمزها را عوض کنید

در هر حالتی، حتی بعد از بازگردانی پشتیبان، این‌ها باید عوض شوند: رمز همه کاربران وردپرس، نام کاربری و رمز پایگاه داده در wp-config.php، کلیدهای امنیتی و salt همان فایل، کلیدهای درگاه پرداخت و SMTP و سایر سرویس‌ها، دسترسی کنترل‌پنل هاست، FTP و SSH، و تأیید دومرحله‌ای مدیران.

برای محکم‌کاری‌های بعدی، ده کار ضروری امنیت وردپرس را بخوانید. اگر هم بعد از این ماجرا به فکر جابه‌جایی هاست افتاده‌اید، قیمت و مشخصات هاست وردپرس شرکت‌های مختلف را در کلادهامون کنار هم ببینید.

منبع: The Hacker News، به نقل از اطلاعیه امنیتی Rank Math و هشدار Wordfence

هک افزونه Rank Math PRO در یک نگاه

• نوع: خبر
• تاریخ انتشار: ۶ آبان ۱۴۰۵
• منبع رسمی: thehackernews.com