Плагін Rank Math PRO для WordPress поширювався зі шкідливим кодом
Плагін Rank Math PRO для WordPress певний час поширювався зі шкідливим кодом, що створював приховані бекдори на сайтах.
Частина завантажень платного SEO-плагіна Rank Math PRO для WordPress із офіційного сайту розробника містила шкідливий код. Скомпрометовані версії могли створювати приховані бекдори на сайтах після активації плагіна.
За даними BleepingComputer, проблема торкнулася версії 3.0.123, яку користувачі завантажували в період від 15 жовтня 20:02 UTC до 16 жовтня 07:12 UTC. Розробник повідомив, що уражені файли оперативно видалили та випустили чисту версію Rank Math PRO 3.0.124.
Які версії зазнали компрометації
Rank Math заявила, що інцидент стосувався лише PRO-версії плагіна. Безплатний Rank Math SEO, доступний через WordPress.org, не постраждав. Платна версія призначена для оптимізації сайтів у пошукових системах, тоді як безплатний варіант активний на більш ніж 4 млн сайтів.
За інформацією компанії, шкідливий код забезпечував постійний доступ до ураженого ресурсу, зв'язувався з доменом rank1cdn[.]com і міг повторно створювати приховані бекдори, коли хтось відвідував сайт. У разі активації скомпрометованого плагіна зловмисники могли отримати доступ до облікових даних бази даних, API-ключів та інших секретів, доступних вебсерверу.
Рекомендації для адміністраторів
Адміністраторам сайтів, які встановили й активували Rank Math PRO 3.0.123 у зазначений проміжок, рекомендують вважати ресурси потенційно скомпрометованими. Розробник радить відновити файли сайту та базу даних із перевіреної резервної копії, провести сканування безпеки й замінити всі паролі, ключі та salts.
Якщо безпечної резервної копії немає, необхідне ручне очищення: слід видалити всю папку плагіна та шкідливі записи в базі даних, а також перевірити сайт на додаткові бекдори, несанкціоновані облікові записи адміністраторів, змінені файли й заплановані завдання. Просте вимкнення або оновлення плагіна після компрометації загрозу не прибирає. Також рекомендовано заблокувати вихідні з'єднання з доменом rank1cdn[.]com.
Користувачам, які завантажили плагін, але не активували його, радять видалити файл, встановити чисту версію 3.0.124 і просканувати сайт.
