Malware encontrado no plugin Rank Math PRO para WordPress
Uma versão comprometida do plugin de SEO Rank Math PRO distribuída por 11 horas introduziu uma porta dos fundos autorrecuperável. Sites usando versões afetadas devem ser considerados violados.
TL;DR
- As versões do plugin Rank Math PRO distribuídas entre 15 de outubro às 20:02 UTC e 16 de outubro às 07:12 UTC contêm malware.
- A porta dos fundos é autorrecuperável, dificultando sua remoção manual.
- Mais de 100.000 sites utilizam plugins Rank Math, embora o número exato de impactados seja desconhecido.
- Os usuários devem tratar os sites afetados como comprometidos e seguir os passos de correção.
- A Rank Math lançou versões limpas e recomenda atualização imediata.
Entre 15 e 16 de outubro de 2026, código malicioso foi inserido no plugin Rank Math PRO para WordPress. A ferramenta de SEO, que alimenta mais de 100.000 sites, inadvertidamente distribuiu uma versão comprometida que instala uma porta dos fundos persistente ao ser ativada.
A janela de violação durou pouco mais de 11 horas, mas devido à ampla adoção do plugin, o impacto potencial é significativo. Pesquisadores de segurança alertam que a porta dos fundos embutida pode se reinstalar mesmo após tentativas de remoção, exigindo procedimentos completos de limpeza.
Detalhes do Ataque
- As versões maliciosas do plugin foram distribuídas diretamente de rankmath.com e por meio de atualizações automáticas.
- O período da infecção foi das 20:02 UTC de 15 de outubro até às 07:12 UTC de 16 de outubro.
- Uma vez ativado, o plugin cria usuários administradores ocultos e instala uma porta dos fundos furtiva.
- O malware inclui recursos anti-detecção e tenta desativar plugins de segurança.
- Um mecanismo de autorrestauração permite que a porta dos fundos permaneça ativa mesmo após limpezas parciais.
Resposta e Correção
- A Rank Math confirmou a violação e imediatamente retirou as versões infectadas.
- Novas versões limpas do plugin foram republicadas tanto para usuários gratuitos quanto PRO.
- Sites afetados devem ser tratados como totalmente comprometidos, independentemente dos sintomas visíveis.
- Os proprietários dos sites devem remover todos os arquivos associados às versões maliciosas do plugin.
- Auditorias completas no servidor, redefinição de credenciais e endurecimento de segurança são fortemente recomendados.
Fontes
Fontes
Atualizações de segurança por e-mail
Um e-mail resumo quando publicarmos novos artigos de segurança (TL;DR e links para ler mais). Cancele a inscrição a qualquer momento no rodapé da mensagem. Veja nossa Política de Privacidade.