Rank Math SEO PRO z malware. Czy Twoja strona jest zagrożona?

W części pakietów popularnej wtyczki Rank Math SEO PRO dla WordPressa wykryto złośliwe oprogramowanie. Problem dotyczy wersji 3.0.123 pobranej lub zaktualizowanej w określonym przedziale czasu 15 i 16 października 2026 roku. Zainfekowana wtyczka mogła umożliwić atakującym przejęcie kontroli nad stroną internetową.

O zagrożeniu poinformował Wordfence, powołując się na komunikat twórców Rank Math. Producent usunął zainfekowane pliki i udostępnił bezpieczną wersję 3.0.124. Jednak w przypadku stron, na których uruchomiono złośliwy kod, sama aktualizacja może nie wystarczyć.

Co się stało z Rank Math SEO PRO?

Rank Math SEO PRO to płatna wtyczka WordPressa służąca do optymalizacji stron pod kątem wyszukiwarek. W październiku 2026 roku doszło do incydentu bezpieczeństwa, w wyniku którego część użytkowników mogła pobrać jej zmodyfikowaną, złośliwą wersję.

Problem dotyczył pakietów Rank Math SEO PRO 3.0.123 pobranych lub zainstalowanych przez aktualizację od 15 października o godzinie 22:02 do 16 października o godzinie 09:12 czasu polskiego.

Złośliwe oprogramowanie było umieszczone bezpośrednio w plikach wtyczki udostępnianych przez producenta. Oznacza to, że użytkownik mógł zainstalować niebezpieczny pakiet, korzystając ze standardowego procesu aktualizacji.

Ważne: problem dotyczy wyłącznie wybranych pakietów płatnej wersji Rank Math SEO PRO. Bezpłatna wersja Rank Math SEO dostępna w oficjalnym katalogu WordPressa nie została objęta tym incydentem. Również samo posiadanie wersji 3.0.123 nie oznacza automatycznie, że strona została zainfekowana.

Jakie zagrożenie stwarza złośliwy kod?

Według informacji opublikowanych przez Wordfence złośliwy kod mógł utworzyć na stronie tzw. backdoor, czyli ukryty mechanizm pozwalający atakującemu uzyskać dostęp do witryny z pominięciem standardowego logowania.

W praktyce mogło to prowadzić do:

• Utworzenia nieautoryzowanych kont administratorów, dających dostęp do zarządzania stroną.
• Umieszczenia dodatkowych złośliwych plików na serwerze.
• Ujawnienia haseł i innych poufnych danych, w tym danych dostępowych do bazy danych oraz kluczy API.
• Utrzymania dostępu do strony nawet po zaktualizowaniu lub wyłączeniu wtyczki.

Co istotne, złośliwe oprogramowanie mogło odtwarzać usunięte wcześniej pliki. Dlatego wyeliminowanie zagrożenia wymaga dokładniejszego sprawdzenia witryny, a nie tylko wymiany plików Rank Math SEO PRO.

Jak sprawdzić, czy Twoja strona jest zagrożona?

Jeśli korzystasz z Rank Math SEO PRO, sprawdź zainstalowaną wersję wtyczki w panelu WordPressa, w sekcji Wtyczki → Zainstalowane wtyczki.

Następnie ustal, czy wersja 3.0.123 została pobrana lub zaktualizowana w okresie objętym incydentem. Możesz sprawdzić historię aktualizacji, dostępne logi lub skontaktować się z producentem wtyczki.

Rank Math poinformował, że dysponuje informacjami pozwalającymi ustalić, którzy użytkownicy pobrali zainfekowany pakiet. Jeśli otrzymałeś powiadomienie od producenta, zastosuj się do jego zaleceń, nawet jeśli masz już zainstalowaną nowszą wersję.

Co zrobić, jeśli zainstalowano zainfekowaną wersję?

Jeśli zainfekowany pakiet został aktywowany na stronie, należy potraktować witrynę jako potencjalnie przejętą. Producent zaleca przywrócenie strony i bazy danych z czystej kopii zapasowej wykonanej przed rozpoczęciem incydentu, czyli przed 15 października 2026 roku, godziną 22:02 czasu polskiego.

Po przywróceniu strony należy:

• Przeprowadzić pełne skanowanie strony w poszukiwaniu złośliwego oprogramowania.
• Zmienić hasła i inne dane dostępowe, które mogły zostać ujawnione, w tym dane do WordPressa, hostingu i bazy danych.
• Sprawdzić konta administratorów i usunąć nieautoryzowane konta.
• Zainstalować czystą wersję Rank Math SEO PRO 3.0.124 lub nowszą, pobraną bezpośrednio z konta producenta.
• Monitorować witrynę, aby upewnić się, że podejrzane pliki lub konta nie pojawiają się ponownie.

Jeśli nie dysponujesz odpowiednią kopią zapasową, konieczne może być ręczne usunięcie złośliwego oprogramowania z plików, bazy danych i środowiska serwerowego. W takim przypadku najlepiej skorzystać z pomocy specjalisty.

Samo wyłączenie wtyczki lub zainstalowanie wersji 3.0.124 nie usuwa wszystkich potencjalnych skutków infekcji. Jeśli złośliwy kod został wcześniej uruchomiony, mógł pozostawić dodatkowe pliki i mechanizmy dostępu.

W sytuacji, gdy zainfekowany pakiet został jedynie pobrany, ale nie zainstalowany ani uruchomiony, producent nie wskazuje na zagrożenie wynikające z tego incydentu. Jeśli został zainstalowany, ale nigdy nie był aktywowany, należy usunąć jego pliki, zainstalować czystą wersję i profilaktycznie przeskanować stronę.

Szczegółową procedurę postępowania opisano w oficjalnym komunikacie bezpieczeństwa Rank Math.

Rank Math SEO PRO – podsumowanie incydentu

Incydent z Rank Math SEO PRO pokazuje, że zagrożenia mogą pojawić się nawet podczas pobierania aktualizacji z oficjalnego źródła. W tym przypadku problem dotyczył wybranych pakietów udostępnionych w konkretnym przedziale czasu.

Jeśli korzystasz z płatnej wersji Rank Math, sprawdź historię jej aktualizacji. Jeżeli na Twojej stronie uruchomiono zainfekowany pakiet, nie ograniczaj się do instalacji nowej wersji. Konieczne jest dokładne sprawdzenie bezpieczeństwa całej witryny.