veilletech.fr
20 oct. Feed du jour
#01 WORDPRESS Article

Rank Math PRO : mise à jour piégée, patch 3.0.124

Désactiver ne suffit pas : le dossier entier doit disparaître.

Des copies de Rank Math PRO téléchargées ou reçues en mise à jour entre le 15/10 à 20:02 UTC et le 16/10 à 07:12 UTC contenaient une porte dérobée qui se recrée à chaque visite (CVE-2026-111862, 9,8). Un site où elles ont été installées et activées est à tenir pour compromis, même passé en 3.0.124 : le correctif ne retire ni les comptes, ni les tâches planifiées, ni les fichiers déjà posés. Rank Math recommande de restaurer une sauvegarde antérieure, sinon de supprimer le dossier du plugin et de nettoyer dans un ordre précis.

4 min de lectureintermédiairevidéo 1:17
Partager
Sommaire6 sections
  1. Ce qui se passe
  2. Trois cas
  3. Ce que le code fait
  4. Comment s'y prendre
  5. Ce qu'on ne sait pas
  6. À retenir

Ce qui se passe

Rank Math PRO, la version payante du plugin SEO pour WordPress, a distribué des copies infectées par le canal même qui sert à l'installer et à le mettre à jour. Sont concernées les copies téléchargées sur rankmath.com ou reçues en mise à jour entre le 15 octobre 2026 à 20:02 UTC et le 16 octobre à 07:12 UTC. L'éditeur l'a reconnu dans un avis publié le 16 octobre ; Wordfence a suivi le 17.

Le numéro de version ne tranche pas : la 3.0.123 date du 7 octobre au changelog, plus d'une semaine avant la fenêtre. Une copie de la 3.0.123 obtenue avant le 15 octobre 20:02 UTC est hors du périmètre ; seule compte l'heure à laquelle le fichier est arrivé chez vous. La version gratuite (plus de 4 millions d'installations sur WordPress.org) n'est pas citée par l'avis.

Trois cas

Ce que le code fait

Il recrée sa porte dérobée dès que quelqu'un visite le site, ce qui rend inutile de supprimer des fichiers au hasard. Il peut aussi avoir déposé des fichiers PHP dans d'autres plugins, dans les thèmes et dans mu-plugins, créé des comptes administrateur, ajouté un faux fichier du cœur de WordPress, modifié .htaccess pour que des fichiers .cache s'exécutent comme du PHP, planifié des tâches et posé des clés SSH. Tout secret que le site pouvait atteindre est à considérer comme exposé.

Wordfence l'enregistre sous CVE-2026-111862, noté 9,8. Patchstack le classe comme porte dérobée et note que, l'attaque visant les systèmes de l'éditeur, « une règle de mitigation n'est pas possible ».

Comment s'y prendre

Si vous avez une sauvegarde du site et de la base antérieure au 15 octobre à 20:02 UTC : la restaurer, analyser, changer tous les identifiants, et seulement ensuite installer la 3.0.124 depuis votre compte rankmath.com.

Sinon, dans cet ordre :

  1. Supprimer tout le dossier rank-math-pro (gestionnaire de fichiers ou FTP). Désactiver le plugin ne suffit pas.
  2. Dans la table wp_options, supprimer les entrées dont option_name vaut _uf6qdn2hmm, t8krdk990phb ou _np5pvf754c.
  3. Bloquer les connexions sortantes vers rank1cdn[.]com (domaine enregistré le 14 octobre à 19:31 UTC, environ un jour avant la fenêtre).

Chercher ensuite le reste : PHP dans wp-content/mu-plugins/, dans les dossiers des autres plugins, dans inc/, includes/ et lib/ des thèmes non standard, dans includes/ de Rank Math et dans uploads/ ; du code qui combine base64_decode et des boucles XOR, la clé xmmqhn, proc_open ou des sockets PHP-FPM ; le fichier wp-includes/class-wp-cache-util.php, qui n'appartient pas à WordPress ; des administrateurs nommés wpsupport_… ou avec une adresse en @wp-mail[.]net ; des entrées de crontab marquées #ms6v46 ; les authorized_keys SSH. Wordfence prévient que l'absence de ces traces ne prouve pas que le site est sain.

Changer tous les identifiants, même après une restauration : mots de passe WordPress, utilisateur et mot de passe de base dans wp-config.php, clés et sels, clés de paiement, SMTP et autres API, accès hébergeur, FTP, SFTP, SSH, variables d'environnement, double authentification des administrateurs. Terminer par les contrôles de somme :

Terminal
wp core verify-checksums
wp plugin verify-checksums --all

Il n'existe pas de somme publiée pour ce plugin premium sur WordPress.org (le service n'en offrait aucune pour la version PRO au 19 octobre) : le second contrôle ne dira rien de Rank Math PRO. La 3.0.124 s'installe en dernier, depuis le compte sur rankmath.com. Rank Math ne vous enverra jamais de lien de connexion ou de téléchargement par e-mail.

Ce qu'on ne sait pas

L'éditeur, qui appartient au groupe suédois group.one, n'a pas dit comment les fichiers sont entrés dans son système de téléchargement, combien de clients ont reçu une copie infectée, si les mises à jour automatiques l'ont diffusée, ni quelles sont les empreintes des paquets sain et piégé. Ni l'avis ni Wordfence ne publient d'analyse du code ni ne nomment les responsables.

C'est au moins le troisième incident de l'année sur un plugin WordPress premium : Smart Slider 3 Pro (Nextend) en avril, pendant environ six heures, puis les plugins Pro de ShapedPlugin en juin, dont un paquet resté sous le même numéro de version après avoir été altéré. Rien de publié ne relie les auteurs.

Source : The Hacker News, 19 octobre 2026. Source en anglais. Avis de l'éditeur : Rank Math ; analyse : Wordfence.