Rank Math PRO piégé : une porte dérobée dans les mises à jour du 15 octobre

Rank Math PRO, la version payante de l'extension de référencement WordPress Rank Math, a été distribuée avec un logiciel malveillant entre le 15 octobre 2026 à 20 h 02 UTC et le 16 octobre à 7 h 12 UTC, a indiqué l'éditeur dans un avis de sécurité daté du 16 octobre, rapporté par The Hacker News. Tout site ayant installé et activé une de ces copies doit être considéré comme compromis.

Quels sites sont concernés ?

Seul Rank Math PRO est visé : cette version se télécharge et se met à jour depuis rankmath.com, et non depuis WordPress.org. L'extension gratuite, qui revendique plus de 4 millions d'installations actives et dont la dernière mise à jour date du 6 octobre, n'est pas citée dans l'avis.

Le numéro de version ne permet pas de savoir si l'on est touché : le journal des modifications date la 3.0.123 du 7 octobre, soit avant la fenêtre d'attaque. Ce qui compte est le moment où la copie a été téléchargée ou installée. Une 3.0.123 obtenue avant le 15 octobre 20 h 02 UTC est hors périmètre.

• Installée et activée pendant la fenêtre : site compromis, même si la mise à jour 3.0.124 a depuis été installée.

• Installée mais jamais activée : supprimer les fichiers, installer la 3.0.124 depuis son compte Rank Math et lancer une analyse de sécurité.

• Téléchargée sans être installée : rien n'indique de compromission à ce stade.

Que fait le logiciel malveillant ?

Selon The Hacker News, il peut recréer sa porte dérobée dès qu'un visiteur consulte le site. Installer la 3.0.124 remplace l'extension mais ne supprime pas les fichiers, comptes administrateurs ou tâches planifiées déjà déposés, précise l'avis de Wordfence du 17 octobre. L'attaquant peut avoir laissé des fichiers PHP dans d'autres extensions, dans les thèmes et dans le dossier mu-plugins, créé des comptes administrateurs, modifié le fichier .htaccess pour exécuter des fichiers .cache comme du PHP, ajouté des tâches planifiées et des clés SSH. Tout mot de passe, identifiant de base de données ou clé d'API accessible au site doit être considéré comme exposé.

Wordfence a attribué l'incident au CVE-2026-111862 avec une note de 9,8 sur 10, sans nommer de chercheur. Patchstack le classe comme porte dérobée et estime qu'« une règle n'est pas possible » pour l'atténuer, l'attaque visant les systèmes de Rank Math eux-mêmes. Ni l'avis de l'éditeur ni celui de Wordfence ne contiennent d'analyse du code, ni ne désignent les auteurs.

Comment se nettoyer ?

La méthode recommandée par Rank Math est la restauration : si une sauvegarde du site et de sa base antérieure au 15 octobre 20 h 02 UTC existe, la restaurer, lancer une analyse, changer tous les identifiants, puis seulement installer la 3.0.124.

Sans sauvegarde saine, trois gestes précèdent tout le reste. Supprimer entièrement le dossier rank-math-pro (désactiver ne suffit pas), supprimer dans la table wp_options les entrées _uf6qdn2hmm, t8krdk990phb et _np5pvf754c, puis bloquer les connexions sortantes vers rank1cdn[.]com. Il faut ensuite chercher les autres modifications, notamment le fichier wp-includes/class-wp-cache-util.php, qui n'appartient pas au noyau de WordPress. Supprimer des fichiers suspects avant d'arrêter ce qui recrée la porte dérobée risque de ne rien résoudre. Pour un site sensible, passer par un prestataire est plus sûr.

Sur le même sujet, voir notre article sur la faille Click2Shell de WordPress.

Source

• The Hacker News — Popular WordPress SEO Plugin Rank Math PRO Hijacked to Deliver Self-Restoring Backdoor