Placený Rank Math PRO šířil malware: kdo aktualizoval v noci na 16. října, má problém

Oficiální balíček pluginu Rank Math PRO ve verzi 3.0.123 obsahoval škodlivý kód. Rozdával se přímo ze serverů výrobce zhruba 11 hodin v noci z 15. na 16. října 2026. Pokud jste v té době PRO verzi aktualizovali nebo instalovali, berte web jako napadený – samotný update na novější verzi ho nevyčistí.

Co se stalo

Nejde o chybu v kódu, kterou by někdo zneužil, ale o takzvaný útok na dodavatelský řetězec. Útočník nenapadal weby jeden po druhém. Podstrčil škodlivý kód přímo do oficiálního balíčku, který si zákazníci stahovali od výrobce nebo dostali jako běžnou aktualizaci.

Výrobce problém potvrdil 16. října 2026, napadené soubory stáhl a vydal čistou verzi 3.0.124. Jak se kód do balíčku dostal a který jeho systém byl prolomen, zatím neuvedl. Oficiálně mluví o „omezeném počtu“ zasažených uživatelů.

Časová osa (časy v našem letním čase):

• 15. 10. ve 22:02: Aktualizace na Rank Math PRO 3.0.123 začíná doručovat škodlivý kód.
• 16. 10. v 9:12: Konec okna, kdy se z oficiálního zdroje stahovala napadená verze.
• 16. 10.: Rank Math zveřejňuje bezpečnostní oznámení, odstraňuje napadené soubory a vydává čistou verzi 3.0.124.
• Následující dny: Bezpečnostní databáze incident evidují pod označením CVE-2026-111862 s nejvyšší úrovní závažnosti (CVSS 9,8 z 10).

Proč je to problém

SEO plugin má na webu stejná práva jako cokoli jiného v instalaci WordPressu. Jakmile se napadená verze aktivovala, útočník získal nad webem plnou kontrolu. Podle výrobce a bezpečnostních analytiků malware může:

• vytvořit skryté administrátorské účty,
• znovu postavit svá zadní vrátka při každé návštěvě webu, takže smazání jednoho souboru nestačí,
• podvrhnout falešný soubor, který vypadá jako součást jádra WordPressu,
• upravit .htaccess tak, aby se nenápadné soubory s příponou .cache spouštěly jako PHP,
• naplánovat si vlastní úlohy (cron), které ho vracejí zpět,
• vyčíst hesla k databázi, API klíče a další citlivé údaje uložené na webu.

Nejširší dopad má poslední bod. I když web vyčistíte, ukradená hesla a klíče zůstávají útočníkovi, dokud je nezměníte. Malware navíc umí zasáhnout i mimo složku WordPressu, například do SSH klíčů nebo crontabu uživatele, pod kterým web běží.

Případ zároveň ukazuje slabinu placených pluginů. Jejich aktualizace nejdou přes WordPress.org a jeho automatické kontroly, takže bezpečnost stojí celá na infrastruktuře výrobce.

Týká se vás to?

Zasažená je jen placená verze Rank Math PRO 3.0.123, a to kopie stažené nebo aktualizované v uvedeném okně (15. 10. 22:02 až 16. 10. 9:12 našeho času). Bezplatný Rank Math SEO z WordPress.org incident nezasáhl. Verzi zjistíte v administraci v přehledu pluginů, nebo přes WP-CLI příkazem wp plugin list --fields=name,status,version.

• PRO 3.0.123 jste v kritickém okně nainstalovali a aktivovali: web berte jako napadený a postupujte podle návodu níže.
• PRO 3.0.123 máte, ale nevíte, kdy se aktualizace stáhla: počítejte s nejhorším, dokud nemáte jistotu. Čas aktualizace prozradí logy hostingu nebo datum změny souborů pluginu.
• PRO 3.0.123 jste nainstalovali, ale nikdy neaktivovali: soubory pluginu smažte, nainstalujte 3.0.124 a pro jistotu web proskenujte.
• PRO 3.0.123 jste jen stáhli, neinstalovali: podle výrobce to samo o sobě napadení neznamená. Stažený soubor smažte.
• Máte PRO starší než 3.0.123, případně už 3.0.124 bez mezikroku přes 3.0.123: tento incident se vás netýká. Aktualizujte na 3.0.124.
• Máte jen bezplatný Rank Math SEO: incident se vás netýká.

U bezplatné verze se přesto vyplatí zkontrolovat, že máte aspoň 1.0.277. Ta v srpnu opravila jinou, nesouvisející závažnou chybu.

Co dělat hned

Pokud jste napadenou verzi aktivovali, samotná aktualizace na 3.0.124 nestačí. Nová verze vymění jen soubory pluginu, ale účty, soubory a úlohy, které si útočník na webu založil, zůstanou.

Doporučená cesta je obnova ze zálohy. Použijte zálohu souborů i databáze pořízenou před 15. 10. 2026 ve 22:02 našeho času. Pak nainstalujte čistou verzi 3.0.124 a web proskenujte bezpečnostním pluginem.

Když zálohu nemáte, čistěte ručně a v tomto pořadí:

1. Smažte celou složku pluginu wp-content/plugins/rank-math-pro, pouhá deaktivace nestačí.
2. Odstraňte z tabulky wp_options tři záznamy, které uvádí výrobce: _uf6qdn2hmm, t8krdk990phb a _np5pvf754c (např. wp option delete _uf6qdn2hmm).
3. Pokud to jde, zablokujte odchozí spojení na doménu rank1cdn[.]com.
4. Projděte administrátory příkazem wp user list --role=administrator. Podezřelé jsou účty začínající na wpsupport_ nebo s e-mailem na doméně wp-mail[.]net.
5. Smažte falešný soubor wp-includes/class-wp-cache-util.php a ověřte jádro příkazem wp core verify-checksums.
6. Zkontrolujte .htaccess, soubory .cache s PHP kódem a složky mu-plugins a uploads.
7. Projděte naplánované úlohy (wp cron event list) i crontab uživatele webu. Hledejte záznamy s označením #ms6v46.
8. Přeinstalujte pluginy a šablony z oficiálních zdrojů a spusťte wp plugin verify-checksums --all. U placených pluginů kontrolní součty chybějí, porovnejte je s čistou kopií.

Ať už jste web obnovili, nebo vyčistili, dál pokračujte takto:

1. Změňte všechny přístupy. Jde o hesla do WordPressu, přístup k databázi ve wp-config.php, bezpečnostní klíče (salts), API klíče platebních bran a SMTP, FTP/SFTP, SSH i hostingový panel. Administrátorům zapněte dvoufázové ověření.
2. Zkontrolujte i to, co leží mimo WordPress. Malware může upravit SSH klíče nebo crontab. Na sdíleném hostingu s tím požádejte o pomoc poskytovatele.
3. Několik dní web sledujte. Vrací-li se smazané soubory, zadní vrátka pořád běží a čištění je potřeba zopakovat.
4. Pozor na podvodné e-maily. Rank Math podle svých slov neposílá odkazy na přihlášení ani ke stažení. Novou verzi stahujte jen po přihlášení na rankmath.com, adresu zadejte ručně.

Závěr

Případ Rank Math ukazuje, že ani aktualizace od známého výrobce nemusí být automaticky bezpečná. Aktualizace přesto vypnout nedoporučujeme – staré verze pluginů jsou riziko častější než takový incident.

Nejlepší pojistkou je záloha s delší historií, ze které se dá vrátit před okamžik napadení. Pomáhá také držet na webu jen pluginy, které opravdu používáte. Pokud si nejste jistí, zda se vás incident týká, nebo potřebujete obnovit web ze zálohy, ozvěte se naší podpoře.

Situace se může dál vyvíjet. Článek budeme průběžně aktualizovat, poslední stav k 20. 10. 2026.

Zdroje

• Rank Math: oficiální oznámení k verzi PRO 3.0.123 (anglicky)
• Patchstack: záznam o napadené verzi (anglicky)
• SecurityWeek: shrnutí incidentu (anglicky)