Cảnh báo: Plugin Rank Math PRO bị tấn công, cài cắm backdoor tự phục hồi

Cộng đồng quản trị website WordPress đang đối mặt với một sự cố bảo mật nghiêm trọng liên quan đến plugin Rank Math PRO. Theo thông báo từ nhà phát triển, các bản sao của plugin này được tải xuống hoặc cập nhật trong khoảng thời gian từ 20:02 UTC ngày 15/10 đến 07:12 UTC ngày 16/10/2026 đã bị chèn mã độc (malware).

Mức độ nguy hiểm của Backdoor

Mã độc này không chỉ đơn thuần là một tệp tin độc hại mà còn có khả năng tự tái tạo backdoor ngay cả khi quản trị viên đã cố gắng xóa bỏ. Wordfence đã gán mã định danh CVE-2026-111862 cho sự cố này với điểm số nghiêm trọng 9.8/10.

Kẻ tấn công có thể đã thực hiện các hành vi sau trên server bị nhiễm:

• Tạo tài khoản quản trị viên giả mạo.
• Chèn các tệp tin PHP backdoor vào thư mục plugin, theme hoặc thư mục mu-plugins.
• Sửa đổi tệp .htaccess để thực thi tệp .cache dưới dạng mã PHP.
• Thiết lập các tác vụ định kỳ (scheduled tasks) và thêm SSH keys để duy trì quyền truy cập.

Cách xử lý và khôi phục

Rank Math đã phát hành phiên bản sạch 3.0.124. Tuy nhiên, việc cập nhật lên phiên bản này không tự động loại bỏ các tệp tin độc hại hoặc tài khoản đã được kẻ tấn công tạo ra trước đó.

Quy trình khôi phục khuyến nghị:

1. Khôi phục từ bản backup: Nếu có bản sao lưu sạch trước ngày 15/10, hãy khôi phục toàn bộ website và database, sau đó đổi toàn bộ mật khẩu và thông tin đăng nhập.
2. Xử lý thủ công (nếu không có backup):
   • Xóa hoàn toàn thư mục rank-math-pro qua FTP hoặc File Manager.
   • Xóa các entry lạ trong bảng wp_options: _uf6qdn2hmm, t8krdk990phb, và _np5pvf754c.
   • Chặn các kết nối đi đến tên miền rank1cdn[.]com thông qua firewall.
   • Kiểm tra và xóa các tệp tin PHP khả nghi, tài khoản admin có tiền tố wpsupport_ hoặc email kết thúc bằng @wp-mail[.]net.

Sau khi làm sạch, quản trị viên bắt buộc phải thay đổi toàn bộ mật khẩu WordPress, thông tin database, API keys, SMTP, và các thông tin truy cập server (SSH/SFTP). Hãy đảm bảo rằng phiên bản 3.0.124 được tải trực tiếp từ trang quản trị chính thức của Rank Math.

Lưu ý: Phiên bản miễn phí của Rank Math trên WordPress.org không bị ảnh hưởng bởi sự cố này.

Nguồn tham khảo: The Hacker News