Stan na 19 października 2026, godz. 16:45. Część pakietów Rank Math SEO PRO 3.0.123 zawierała złośliwy kod. Dotyczy to stron, które pobrały albo zaktualizowały wtyczkę do tej wersji między 15 października, 20:02 UTC (22:02 czasu polskiego), a 16 października, 7:12 UTC (9:12). Producent wydał czystą wersję 3.0.124, ale sama aktualizacja nie usuwa tego, co złośliwy kod mógł już zostawić.
Kogo to dotyczy
Tylko płatnej wersji Rank Math SEO PRO, i tylko pakietów pobranych w podanym oknie. Darmowy Rank Math z katalogu WordPress.org nie jest wymieniony w komunikacie producenta. Sama wersja 3.0.123 na stronie nie oznacza infekcji. Według Wordfence (17.10.2026) producent:
- zaleca pełne odzyskiwanie strony, jeśli zainfekowana kopia była włączona;
- przy kopii zainstalowanej, ale nigdy niewłączonej, zaleca usunięcie plików wtyczki, instalację 3.0.124 z konta Rank Math i skan bezpieczeństwa;
- przy kopii tylko pobranej, ale niezainstalowanej, nie widzi oznak infekcji;
- ma listę osób, które pobrały zainfekowaną wersję, i wysyła im instrukcje.
Co zrobić teraz
- Sprawdź w historii aktualizacji (albo w logach hostingu), kiedy strona dostała Rank Math SEO PRO 3.0.123. Jeśli poza oknem, zaktualizuj do 3.0.124 i na tym koniec.
- Jeśli w oknie i wtyczka była włączona: przywróć stronę i bazę z kopii zrobionej przed 15 października, 22:02 czasu polskiego. Potem zainstaluj 3.0.124 z konta Rank Math.
- Nie masz takiej kopii? Najpierw usuń cały katalog rank-math-pro (sama dezaktywacja nie wystarczy) i trzy wpisy w tabeli wp_options: _uf6qdn2hmm, t8krdk990phb i _np5pvf754c. Inaczej złośliwy kod odtworzy furtkę przy kolejnej wizycie.
- Zmień wszystko, do czego strona miała dostęp: hasła WordPressa, hasło do bazy, klucze i sole w wp-config.php, klucze API, dane do płatności i poczty, hasła do panelu hostingu oraz FTP, SFTP i SSH.
- Sprawdź konta administratorów: według producenta podejrzane są nazwy zaczynające się od wpsupport_ i adresy w domenie wp-mail.net.
Dla osób z dostępem do serwera
Producent wymienia też plik wp-includes/class-wp-cache-util.php (to nie jest plik WordPressa), pliki .cache z kodem PHP, reguły w .htaccess pozwalające uruchamiać pliki .cache, zadania cron z oznaczeniem #ms6v46 i połączenia wychodzące do rank1cdn.com. Po czyszczeniu zaleca sprawdzenie sum kontrolnych:
wp core verify-checksums
wp plugin verify-checksums --allWtyczki płatne nie mają sum kontrolnych w katalogu, więc ich pliki porównaj z czystą kopią pobraną od producenta. Jeśli usunięte pliki wracają, czyszczenie nie jest skończone. Gdy nie chcesz robić tego sam, pomagam w odwirusowaniu WordPressa.
Źródła (dostęp 19.10.2026): Rank Math, komunikat o incydencie PRO 3.0.123; Wordfence, PSA: Malware Found in Some Rank Math SEO PRO 3.0.123 Downloads. W tym samym tygodniu wyciekły też klucze UpdraftCentral: co zrobić, jeśli masz UpdraftPlus.
