Rank Math PRO скомпрометирован: в официальных сборках плагина обнаружен самовосстанавливающийся бэкдор

Разработчики Rank Math опубликовали уведомление о безопасности, в котором подтвердили: копии Rank Math PRO, скачанные с официального сайта rankmath.com или полученные в качестве обновлений в период с 20:02 UTC 15 октября по 07:12 UTC 16 октября, содержали вредоносный код. Платная версия плагина используется на большом числе сайтов под управлением WordPress, поэтому инцидент затрагивает широкий круг владельцев ресурсов, полагавшихся на легитимный канал распространения.

Подробности

Вредоносная нагрузка представляет собой бэкдор, внедрённый непосредственно в дистрибутив плагина. По данным Rank Math, заражённые сборки распространялись через официальный сайт и механизм автоматических обновлений WordPress — то есть через доверенные каналы, которые администраторы сайтов обычно не проверяют. Ключевая особенность вредоносного кода — способность к самовосстановлению: после удаления или очистки заражённых файлов бэкдор может восстанавливаться, что усложняет реагирование на инцидент и требует более тщательной проверки системы. Разработчики прямо указывают: если сайт установил и активировал одну из заражённых копий в указанный временной интервал, ресурс следует рассматривать как скомпрометированный. Публичных данных о конкретных CVE, масштабе эксплуатации и атрибуции атаки в уведомлении не приводится. Затронута именно платная редакция плагина — Rank Math PRO; бесплатная версия в исходном сообщении не упоминается.

Что делать

Владельцам сайтов на WordPress с установленным Rank Math PRO необходимо в первую очередь проверить, попадает ли установка или последнее обновление в окно 20:02 UTC 15 октября — 07:12 UTC 16 октября. При совпадении следует исходить из худшего сценария и провести полноценное обследование ресурса: проверить файлы плагина и ядра CMS на предмет посторонних вставок, проанализировать логи веб-сервера и обращения к подозрительным адресам, а также журналы административных действий. Учитывая свойство бэкдора к самовосстановлению, простого удаления изменённых файлов недостаточно — требуется комплексная проверка, при необходимости с восстановлением из заведомо чистых резервных копий. Рекомендуется сменить учётные данные администраторов WordPress, ключи API и пароли FTP/SSH, а также проверить наличие новых пользовательских учётных записей с повышенными привилегиями. Для снижения риска на будущее стоит ограничить автоматические обновления критичных компонентов и внедрить контроль целостности файлов. О фактах компрометации целесообразно уведомить хостинг-провайдера. Инцидент демонстрирует, что доверие к официальному каналу обновлений не гарантирует безопасность: компрометация цепочки поставок плагина ставит под удар все сайты, установившие обновление автоматически. Своевременная проверка целостности и готовность к восстановлению из чистых бэкапов остаются базовыми мерами защиты.

Источник: The Hacker News