WordPress向けSEOプラグイン「Rank Math」の有料版アドオン「Rank Math PRO」の一部ビルドにマルウェアが混入していたことが、10月19日に報じられました。開発元のRank Mathも自社の告知で事実を認めています。被害が出るのは限られた時間帯に入手したコピーですが、有効化していた場合は、更新だけでは済まない深刻な状況です。
何が起きたのか
- 対象は「Rank Math PRO 3.0.123」。ただし2026年10月15日20:02(UTC)〜16日07:12(UTC)の約11時間にダウンロードまたは更新されたコピーのみとされています(日本時間では10月16日5:02〜16:12)。
- Rank Mathは、問題のファイルをすぐに削除し、クリーンなバージョンを公開したと説明しています。影響を受けた顧客は限定的で、該当者にはメールで連絡するとのことです。
- セキュリティ企業のWordfenceは、この件を「CVE-2026-111862」(CVSS 9.8、重大)として追跡しています。
- 報道によれば、告知の対象は有料のPROアドオンで、WordPress.org配布の無料版は含まれていません。
バックドアの特徴
有効化されたマルウェアは、本物に似せたドメイン(rank1cdn[.]com)に接続し、ページが読み込まれるたびに自分自身を再構築する隠れたバックドアを設置します。Rank Mathによると、次のような動きをします。
- ユーザー名が「wpsupport_」で始まる、またはメールアドレスが「@wp-mail[.]net」で終わる管理者アカウントを作成する
- 「wp-includes/class-wp-cache-util.php」に偽のコアファイルを置く
- 「.htaccess」を書き換え、「.cache」ファイルをPHPとして実行させる
- タグ「#ms6v46」付きのシステムcronジョブを追加する
- SSHの「authorized_keys」や他ユーザーのcrontabにも手を伸ばす
そのため、サイトが読み取れたパスワード、データベース認証情報、APIキーはすべて漏えいした前提で扱う必要があります。
サイト運営者がやること
- ダウンロードしただけで未インストール: この件だけでは侵害の兆候はありません。
- インストールしたが有効化していない: プラグインのファイルを削除し、修正版の3.0.124を入れ直してマルウェアスキャンを行います。
- 上記の時間帯に入手して有効化した: 侵害されたものとして扱い、10月15日20:02(UTC)より前のバックアップからファイルとデータベースを復元し、WordfenceやSucuriなどでスキャンします。
- クリーンなバックアップがない場合: 「rank-math-pro」フォルダ全体を削除(無効化だけでは不十分)、wp_optionsの「_uf6qdn2hmm」「t8krdk990phb」「_np5pvf754c」の行を削除、可能なら上記ドメインへの外向き通信を遮断する、の順に進めます。
- 復元後も、wp-config.phpのDBパスワード、WordPressのキーとソルト、決済・SMTPのキー、ホスティング・FTP・SSHのログイン情報、管理者の2要素認証設定を見直します。
なお、3.0.124に更新してもバックドアや不正な管理者アカウント、cronジョブは消えません。「更新したから大丈夫」とは考えないでください。入手は、rankmath.comに直接ログインして行うよう案内されています(Rank Mathはログインやダウンロードのリンクをメールで送らないとのこと)。
背景と注意点
報道では、UpdraftPlusの開発元TeamUpdraftも10月17〜18日に顧客データベースへ侵入され、UpdraftCentralの接続キーが盗まれたと伝えられています。ただし、両者が関連しているかは分かっておらず、Rank Mathの侵入経路や被害サイト数、発見者についても記事では触れられていません。有料プラグインはWordPress.orgの審査を通らず、各社の配布サーバーから届くため、配布経路そのものが狙われるリスクがあります。
最近は、WordPress本体の攻撃連鎖にも注意が必要です。あわせてWordPress本体の「WP2Shell」攻撃連鎖の記事もご確認ください。
出典: Cyber Kendra「Rank Math Hacked in Supply Chain Attack, Shipped a Self-Rebuilding Backdoor」
