WordPress熱門SEO外掛Rank Math PRO遭供應鏈攻擊植入自我修復後門

背景與影響

資安業者Rank Math證實,其官網rankmath.com在2026年10月15日20:02 UTC至10月16日07:12 UTC期間提供的3.0.123版下載檔與更新檔遭植入惡意程式碼,任何在此期間下載並啟用該外掛的網站都應視為已遭入侵。

此惡意程式會在網站有訪客造訪時自動重建隱藏後門,具備高度持續性;攻擊者可能已在其他外掛資料夾、佈景主題、must-use外掛目錄中植入PHP後門、建立新管理員帳號、竄改WordPress核心檔案與.htaccess設定,使.cache檔案可被當作PHP執行,並新增排程任務與SSH金鑰。

由於攻擊目標是Rank Math自身的伺服器基礎設施,任何網站可存取的密碼、資料庫憑證、API金鑰等機敏資訊都應視為已外洩,僅更新到乾淨版本3.0.124並不會移除已植入的後門與惡意帳號。

本事件已被Wordfence列為CVE-2026-111862,CVSS評為9.8分,屬於極高風險的供應鏈攻擊,Patchstack也指出由於問題源自廠商自身系統,目前沒有可用的防火牆規則可供緩解。

解決方案

• 立即確認是否在2026年10月15日20:02 UTC至10月16日07:12 UTC期間下載或更新過Rank Math PRO 3.0.123版
• 若有安裝啟用,應以該時間點之前的乾淨備份完整還原網站檔案與資料庫
• 若無乾淨備份,需手動刪除整個外掛資料夾及可疑的資料庫項目,勿僅靠停用或更新外掛解決
• 全面檢查其他外掛資料夾、佈景主題、must-use目錄是否有額外後門檔案
• 檢查並移除可疑管理員帳號、排程任務與未知的SSH金鑰
• 更換所有密碼、資料庫憑證、API金鑰與WordPress安全金鑰(salts)
• 完成清理後執行完整的惡意程式掃描,並持續監控網站異常活動