Rank Math PRO 3.0.123 contenait un malware : votre site WordPress est-il compromis ?

Ce qui s'est passé

Rank Math est l'une des extensions de référencement les plus utilisées sur WordPress : sa version gratuite est active sur plus de 4 millions de sites, d'après BleepingComputer. Le nombre de sites qui utilisent la version payante, Rank Math SEO PRO, n'est pas public.

Le 16 octobre, Rank Math a annoncé qu'une partie des copies de la version 3.0.123 de son extension PRO contenaient un malware. Ces copies ont été téléchargées ou installées par mise à jour entre le 15 octobre à 20:02 UTC et le 16 octobre à 07:12 UTC, soit de 22 h 02 à 9 h 12 à l'heure de Paris. L'éditeur a retiré les fichiers et publié une version saine, la 3.0.124. L'incident porte l'identifiant CVE-2026-111862, avec une note de 9,8 sur 10.

C'est ce qu'on appelle une attaque par la chaîne d'approvisionnement : le malware ne vient pas d'une faille du site, mais du canal de mise à jour officiel de l'éditeur. Rank Math n'a pas expliqué comment l'attaquant a pu modifier ses fichiers, et ne donne pas le nombre de sites touchés, qu'il qualifie de limité.

Ce que fait le malware

D'après Rank Math, le code piégé s'active avec l'extension. Il peut alors :

• s'installer durablement et communiquer avec le domaine rank1cdn[.]com ;
• recréer une porte dérobée cachée à chaque visite du site, ce qui complique le nettoyage ;
• créer des comptes administrateurs, un faux fichier du cœur de WordPress, des fichiers .cache exécutés comme du PHP et une tâche planifiée du système ;
• exposer tout ce que le serveur web peut lire : mots de passe WordPress, accès à la base de données, clés d'API et autres secrets.

BleepingComputer a trouvé sur VirusTotal un fichier PHP qui partage les mêmes indices. Il installe la porte dérobée, exécute des commandes, modifie la base et vole les identifiants AWS, Cloudflare, Google Cloud et Azure ainsi que les clés SSH présents sur le serveur. Le média précise ne pas avoir pu confirmer que ce fichier a été distribué par l'extension piégée.

Votre site est-il touché ? Trois situations

La version 3.0.123 ne prouve rien à elle seule : seules les copies obtenues pendant la période sont piégées. Ce qui compte, c'est ce que votre site a fait de cette copie.

Comment savoir quand la 3.0.123 a été installée

WordPress n'affiche pas la date d'installation d'une extension. Ces indices aident à la retrouver :

• Le numéro de version, dans Extensions : 3.0.123 aujourd'hui, ou une mise à jour automatique dans la nuit du 15 au 16 octobre.
• Un email de Rank Math : l'éditeur indique savoir quels comptes ont téléchargé une copie piégée et les avoir prévenus.
• La date de modification du dossier wp-content/plugins/rank-math-pro, visible dans le gestionnaire de fichiers de l'hébergeur ou par FTP. C'est un indice, pas une preuve : un attaquant peut modifier ces dates.
• L'historique de vos sauvegardes ou de votre outil de maintenance, s'il enregistre les mises à jour d'extensions.

Vous gérez plusieurs sites

Commencez par l'inventaire : quels sites utilisent Rank Math PRO, et dans quelle version. Avec WP-CLI, la commande suivante l'indique site par site. Traitez d'abord ceux qui étaient en 3.0.123 ou qui ont été mis à jour pendant la période.

wp plugin list --fields=name,version,status,update | grep -i rank

Remettre le site en état

Option 1 : restaurer une sauvegarde antérieure au 15 octobre

C'est la solution que recommande Rank Math. Il faut une sauvegarde des fichiers et de la base de données faite avant le 15 octobre 2026 à 22 h 02, heure de Paris. Après la restauration, lancez un scan de sécurité, renouvelez tous les secrets (voir plus bas), puis installez la 3.0.124 depuis votre compte Rank Math.

Les commandes, inscriptions et contenus créés depuis cette date seront perdus : exportez-les avant de restaurer si vous en avez besoin.

Option 2 : nettoyer à la main, dans cet ordre

Étape 1 — Empêcher le malware de se reconstruire

_uf6qdn2hmm
t8krdk990phb
_np5pvf754c

Étape 2 — Chercher et retirer le reste

Seulement une fois l'étape 1 terminée, vérifiez chacun de ces points :

• Les fichiers PHP dans wp-content/mu-plugins/, dans les dossiers d'autres extensions, dans les dossiers inc/, includes/ et lib/ des thèmes non fournis par WordPress, et dans le dossier includes/ de Rank Math.
• Le code PHP qui combine base64_decode et une boucle XOR, qui contient la clé xmmqhn, la fonction proc_open ou du code de connexion au socket PHP-FPM.
• Les comptes administrateurs inconnus, en particulier un identifiant commençant par wpsupport_ ou un email se terminant par @wp-mail[.]net.
• Le fichier wp-includes/class-wp-cache-util.php : il n'appartient pas à WordPress.
• Les règles d'un fichier .htaccess, à la racine ou dans un sous-dossier, qui font exécuter les fichiers .cache comme du PHP, et les fichiers .cache qui contiennent du PHP.
• Les tâches planifiées : celles de WordPress (wp cron event list) et celles du système pour l'utilisateur du serveur web, marquées #ms6v46.
• Les fichiers PHP dans wp-content/uploads/, un dossier où WordPress n'en dépose jamais.
• Hors du site : les clés SSH autorisées, les tâches planifiées des autres utilisateurs, les processus en cours et les dossiers où le serveur web peut écrire.

Réinstallez WordPress, les extensions et les thèmes depuis leurs sources officielles. Les fichiers d'un dossier uploads n'ont rien à faire en PHP : un fichier de ce type mérite une enquête.

Étape 3 — Renouveler tous les secrets

Cette étape est indispensable, même après une restauration : le malware a pu lire et transmettre ces informations avant votre intervention. Le détail figure dans la section suivante.

Étape 4 — Vérifier que le site est sain

Lancez un scan complet, puis vérifiez les fichiers du cœur et des extensions gratuites avec WP-CLI. Pour Rank Math PRO et les autres extensions payantes, il n'existe pas d'empreintes publiques : comparez-les à une copie saine téléchargée chez l'éditeur. Surveillez ensuite le site quelques jours : si un fichier supprimé réapparaît, le nettoyage est incomplet.

wp core verify-checksums
wp plugin verify-checksums --all
wp user list --role=administrator
wp cron event list

Les indices de compromission, et ce que notre scan en voit

Rank Math publie la liste des traces laissées par le malware. Leur présence doit être examinée ; leur absence ne prouve pas que le site est sain. Nous indiquons pour chacune ce que Genisoft Security détecte réellement aujourd'hui, sans arrondir. Depuis le 20 octobre 2026, le scan recherche aussi les indices propres à cette campagne.

En clair : un scan aide à trouver ce qui reste dans les fichiers et dans la base, mais il ne remplace pas la procédure de Rank Math. Les vérifications sur le serveur et le renouvellement des secrets restent indispensables.

Les secrets à renouveler

Rank Math recommande de considérer comme exposé tout ce que le site pouvait lire. Révoquez chaque ancien secret à la source, puis mettez le nouveau dans WordPress et les services reliés.

En hébergement mutualisé : demandez les vérifications serveur

Une partie des traces se trouve hors de WordPress, là où vous n'avez pas accès. Ce message demande à votre hébergeur de les vérifier à votre place.

Objet : Rank Math PRO 3.0.123 (CVE-2026-111862) — vérifications côté serveur

Bonjour,

Mon site [adresse du site] est hébergé chez vous (identifiant client : [à compléter]). Il a peut-être reçu la version piégée de l'extension Rank Math SEO PRO 3.0.123, distribuée entre le 15/10/2026 à 20:02 UTC et le 16/10/2026 à 07:12 UTC.

Je nettoie le site lui-même. Pourriez-vous vérifier ce qui relève du serveur, auquel je n'ai pas accès :

1. les tâches planifiées (crontab) de l'utilisateur du serveur web et des autres utilisateurs, en particulier une entrée marquée #ms6v46 ;
2. les connexions sortantes vers le domaine rank1cdn.com, et le blocage de ce domaine si possible ;
3. les clés SSH autorisées et les processus inhabituels sur mon compte ;
4. les fichiers ajoutés depuis le 15/10/2026 hors du dossier du site, là où le serveur web peut écrire ;
5. la liste des sauvegardes disponibles antérieures au 15/10/2026 à 20:02 UTC.

Merci d'avance pour votre aide.

Cordialement,
[Votre nom]

Ce que cet incident change pour vos extensions premium

Pour aller plus loin, notre checklist pour sécuriser WordPress reprend les gestes qui réduisent vraiment le risque, et notre guide sur les extensions vulnérables explique comment elles deviennent une porte d'entrée.

Questions fréquentes

Chronologie et sources

• Rank Math, avis de sécurité sur Rank Math PRO 3.0.123 (en anglais). Source de référence pour la période, les indices et la procédure.
• Wordfence, alerte sur les copies piégées de Rank Math SEO PRO 3.0.123, 16 octobre 2026 (en anglais) : identifiant CVE et note CVSS.
• BleepingComputer, analyse de l'incident, 19 octobre 2026 (en anglais) : nombre d'installations de la version gratuite et échantillon associé.
• SecurityWeek, article sur l'attaque, 19 octobre 2026 (en anglais).

L'avis de Rank Math peut évoluer : il reste la référence en cas d'écart avec cette page, dont la date de mise à jour figure en tête d'article.