Um malware distribuído junto ao Rank Math SEO PRO colocou administradores de sites WordPress em alerta após a identificação de um pacote contaminado capaz de instalar uma porta dos fundos persistente. O incidente, associado à CVE-2026-111862, foi classificado com pontuação crítica de 9,8 no CVSS e exige atenção especial de quem instalou ou atualizou o plugin durante o período de distribuição maliciosa.
O ataque ocorreu entre 15 e 16 de outubro de 2026 e envolveu a versão 3.0.123 do Rank Math SEO PRO. O código malicioso podia criar contas administrativas não autorizadas, modificar arquivos do servidor e estabelecer mecanismos para recuperar o acesso ao site mesmo depois da remoção de componentes infectados. A versão gratuita do Rank Math SEO, distribuída pelo repositório oficial do WordPress.org, não foi apontada como afetada por esse incidente.
A principal preocupação é que atualizar o plugin não garante a remoção da infecção. Se o malware já tiver alterado arquivos, criado tarefas agendadas ou modificado o banco de dados, esses componentes poderão continuar ativos após a instalação de uma versão limpa. Por isso, administradores precisam verificar a integridade de toda a instalação e seguir um procedimento de recuperação que inclua a troca de credenciais e a auditoria do servidor.
Como o ataque ao Rank Math PRO afetou sites WordPress
O Rank Math SEO PRO é a edição paga de um dos plugins de SEO mais utilizados no ecossistema WordPress. Seus recursos auxiliam na otimização de páginas, no gerenciamento de metadados e na melhoria da visibilidade de sites nos mecanismos de busca. O comprometimento de um pacote legítimo torna o incidente particularmente preocupante, pois usuários podem instalar o software acreditando estar recebendo uma atualização confiável.
A versão identificada no alerta foi a 3.0.123, distribuída durante uma janela crítica em outubro. A versão 3.0.124 foi disponibilizada como substituta limpa. Entretanto, o risco depende também do histórico de instalação: um site que executou o pacote contaminado pode continuar comprometido mesmo depois de atualizar o plugin.
O malware foi associado à criação de contas administrativas clandestinas, à execução de tarefas agendadas e à instalação de arquivos destinados a manter o acesso não autorizado. Dependendo das permissões disponíveis, essas ações podem permitir que invasores alterem conteúdo, acessem informações armazenadas no site e comprometam integrações externas.
Por isso, administradores devem conferir os registros de atualização, os horários de instalação e os alertas recebidos da desenvolvedora. A simples presença da versão 3.0.123 não comprova, isoladamente, uma infecção, mas a ativação de um pacote obtido durante o período comprometido exige investigação.
Como funciona a backdoor que tenta se reinstalar
Um dos aspectos mais perigosos do incidente é o mecanismo de persistência. Em vez de depender exclusivamente dos arquivos do plugin, o malware pode utilizar outros componentes da instalação para recriar arquivos removidos e recuperar o acesso ao ambiente.
Entre os indicadores que devem ser investigados estão:
- Alterações suspeitas no arquivo .htaccess.
- O arquivo wp-includes/class-wp-cache-util.php, identificado como componente malicioso nesse incidente.
- Código PHP inesperado em wp-content/mu-plugins/ e wp-content/uploads/.
- Arquivos .cache contendo código executável.
- Tarefas agendadas desconhecidas no WordPress ou no sistema operacional.
- Chaves SSH não autorizadas em arquivos authorized_keys.
- Contas administrativas que não foram criadas pela equipe responsável.
A investigação também deve considerar comunicações com o domínio rank1cdn[.]com, apontado como indicador relacionado ao incidente. O bloqueio deve ser realizado por meio dos controles de rede disponíveis no servidor ou na hospedagem.
A CVE-2026-111862, associada ao comprometimento do pacote, recebeu classificação crítica. O ponto central é que a ameaça não se limita à instalação inicial: se mecanismos de persistência continuarem ativos, a remoção de um único arquivo poderá ser insuficiente.
Como limpar e recuperar um site WordPress comprometido
1. Preserve evidências e confirme a exposição
Antes de excluir arquivos, registre os horários das atualizações, os usuários administrativos existentes e as alterações suspeitas. Preserve os logs do servidor e uma cópia do banco de dados para investigação.
Se houver atividade maliciosa em andamento, restrinja temporariamente o acesso ao site, quando possível, e solicite apoio à hospedagem.
2. Restaure um backup confiável
A opção preferencial é restaurar um backup completo criado antes do início da janela de contaminação, em 15 de outubro de 2026, às 20h02 UTC.
A restauração deve incluir os arquivos e o banco de dados. Antes de devolver o site à produção, verifique a integridade da cópia, revise as contas administrativas e instale uma versão limpa do plugin obtida diretamente da fonte oficial.
Um backup criado depois da infecção pode preservar arquivos maliciosos e contas clandestinas. Por isso, sua data e integridade precisam ser verificadas.
3. Remova o plugin comprometido e as entradas maliciosas
Se não houver backup confiável, a limpeza manual deve seguir uma ordem cuidadosa para evitar que a porta dos fundos seja reconstruída.
Primeiro, preserve os arquivos necessários à investigação e remova o diretório comprometido wp-content/plugins/rank-math-pro/.
Depois, faça um backup do banco de dados e procure, na tabela wp_options, os seguintes nomes de opções identificados no alerta:
- _uf6qdn2hmm
- t8krdk990phb
- _np5pvf754c
Confirme os nomes exatos antes de excluir os registros. Não remova outras entradas apenas por parecerem incomuns.
Em seguida, bloqueie as conexões de saída para rank1cdn[.]com e examine arquivos, tarefas agendadas e contas que possam restabelecer o acesso malicioso.
4. Examine o restante da instalação
Verifique o arquivo wp-includes/class-wp-cache-util.php, os diretórios de plugins e temas, a pasta mu-plugins e os locais de armazenamento de arquivos enviados pelos usuários.
Procure regras suspeitas no .htaccess, arquivos PHP inesperados, tarefas agendadas desconhecidas e chaves SSH que não pertençam à equipe autorizada.
Funções como base64_decode e proc_open podem aparecer em aplicações legítimas. Portanto, a presença dessas funções não comprova, isoladamente, uma infecção. O conteúdo e o comportamento do arquivo precisam ser analisados.
Quando houver dúvidas sobre a integridade do núcleo, dos plugins ou dos temas, reinstale os componentes a partir de fontes confiáveis.
5. Troque senhas e invalide credenciais expostas
Após conter o malware, altere as senhas dos administradores WordPress, as credenciais do banco de dados e os acessos à hospedagem, FTP, SFTP e SSH.
Gere novos salts e chaves de autenticação do WordPress no wp-config.php e atualize as credenciais correspondentes nos serviços que dependem delas.
Também revogue e substitua chaves de API que possam ter sido expostas, incluindo as utilizadas por plataformas de pagamento, serviços de e-mail e integrações externas.
Se vários sites compartilham o mesmo servidor ou a mesma conta de hospedagem, avalie todos eles. A invasão de um único ambiente pode representar risco para outros projetos que compartilham permissões ou credenciais.
6. Verifique os arquivos com WP-CLI
Após a limpeza, utilize o WP-CLI para verificar a integridade dos arquivos do núcleo:
JavaScriptwp core verify-checksumsPara os plugins compatíveis com o serviço de verificação, execute:
JavaScriptwp plugin verify-checksums --allAtenção: plugins premium podem não ter checksums disponíveis no repositório utilizado pelo WP-CLI. Nesse caso, compare os arquivos com uma cópia confiável obtida diretamente da desenvolvedora.
Finalize com uma varredura de segurança, monitore os logs e acompanhe possíveis alterações inesperadas. Se arquivos maliciosos reaparecerem, considere a limpeza incompleta e investigue novamente os mecanismos de persistência.
O que o incidente revela sobre a segurança do WordPress
O comprometimento do Rank Math SEO PRO evidencia os riscos dos ataques à cadeia de suprimentos de software. Nesse tipo de operação, invasores contaminam um componente antes que ele chegue aos usuários, aproveitando a confiança depositada em fornecedores e canais de distribuição.
Plugins premium podem utilizar sistemas próprios de distribuição e atualização, o que reforça a importância de proteger contas de desenvolvedores, verificar a integridade dos pacotes e manter registros de instalação. Isso não significa que extensões pagas sejam inerentemente inseguras, mas mostra que a reputação de um fornecedor não substitui controles técnicos.
Hospedagens e equipes de desenvolvimento também devem manter backups confiáveis, restringir permissões de escrita, monitorar alterações em arquivos e testar atualizações em ambientes controlados sempre que possível.
Compartilhe este alerta com outros administradores WordPress e profissionais de SEO. A identificação rápida de arquivos suspeitos, a revogação de credenciais e a restauração de uma instalação confiável podem evitar que uma contaminação inicial se transforme em uma invasão prolongada.