WordPressの人気プラグイン「Rank Math PRO」にマルウェア混入、自己復元型バックドアの被害が判明

要点

• 有料SEOプラグイン「Rank Math PRO」の公式配布ファイルにマルウェアが混入していたことが判明した。

• 協定世界時（UTC）の2026年10月15日20時2分から10月16日7時12分までに取得されたファイルが影響を受ける。

• マルウェアはサイト訪問のたびにバックドアを再作成する機能を備え、深刻度スコアは9.8（10点満点）と評価されている。

• 修正版（3.0.124）への更新だけではサーバー上の不正ファイル等は削除されず、バックアップ復元などの厳格な手順が求められる。

• WordPress向けの有料SEOプラグイン（機能拡張プログラム）「Rank Math PRO」の配布ファイルにマルウェアが混入し、サイト訪問のたびに裏口を再生成するバックドアが設置される事態が発生した。開発元のRank Mathが2026年10月16日に公開したセキュリティ通知で明らかにした。セキュリティ企業各社も注意を呼びかけており、Wordfenceはこのインシデントの深刻度を10点満点中「9.8」と評価している。

公式サイト経由で混入、特定時間帯に取得されたファイルが対象

Rank Mathの通知によると、同社の公式サイト（rankmath.com）からのダウンロードや自動更新で配信された「Rank Math PRO」にマルウェアが含まれていた。影響を受ける期間は、協定世界時（UTC）で2026年10月15日20時2分から10月16日7時12分までの約11時間である。

プラグインのバージョン番号だけでは被害の有無を判断できない。バージョン「3.0.123」自体は10月7日に公開されたもので、問題の期間より前に取得されたファイルにはマルウェアは含まれていないという。

Rank Mathは利用者の状況を3つに分類している。該当期間中に3.0.123を導入・有効化したサイトは、最新版へ更新済みであっても侵害されたとみなして復旧を行う必要がある。インストールのみで有効化していない場合はファイルを削除して修正版を再導入し、スキャンを行う。未インストールの場合は侵害の兆候はないと説明している。同社は一部ユーザーにメールで通知しており、導入状況が不明な場合はサポートへ連絡するよう求めている。

サイト訪問を機にバックドアを再作成、広範な改ざんを引き起こす手口

マルウェアの挙動について、Rank Mathの通知では感染状態を執拗に維持する仕組みが説明されている。このマルウェアは、何者かがWebサイトにアクセスするたびに、隠されたバックドア（不正にシステムを遠隔操作するための裏口）を自動で再生成する機能を備えているという。

攻撃者が残した可能性がある痕跡は多岐にわたる。他のプラグインやテーマ、管理画面から無効化できない「mu-plugins（Must-Useプラグイン）」ディレクトリ内への不正PHPファイルの配置、偽のコアファイル「wp-includes/class-wp-cache-util.php」の設置、「wpsupport_」で始まる管理者アカウントの作成などが挙げられている。

さらにサーバー設定ファイル「.htaccess」を改ざんして「.cache」ファイルをPHPとして実行させたり、スケジュール管理機能「crontab」に特定タグ（#ms6v46）を含む処理を追加したり、SSH公開鍵を登録したりといった手口も報告された。サイトから参照可能なパスワードやデータベース情報、APIキーなどの機密情報はすべて漏洩したと想定すべきだという。

深刻度は「9.8」、手動駆除には厳密な手順が必須

セキュリティ企業のWordfenceはこの事象に脆弱性識別子「CVE-2026-111862」を割り当て、深刻度を10点満点中「9.8」と評価した。調査者は不明とされている。また、セキュリティ企業のPatchstackは本件をバックドアと分類し、攻撃がRank Math自身のシステムに向けられたため事前防御ルールでの緩和は不可能だったと指摘している。

Rank Mathは問題のファイルを削除し、修正版「3.0.124」を公開した。しかしWordfenceが指摘するように、3.0.124を導入してもプラグイン自体が置き換わるだけで、サーバー上に残された不正ファイルや管理者アカウント等は削除されない。

推奨される復旧方法は、10月15日20時2分（UTC）以前のバックアップからの復元である。バックアップがない場合の手動クリーンアップでは、再生成を防ぐため厳格な順序が求められる。まず「rank-math-pro」フォルダ全体の削除（無効化だけでは不十分）、データベース「wp_options」テーブル内の指定エントリ（_uf6qdn2hmm、t8krdk990phb、_np5pvf754c）の削除、外部ドメイン「rank1cdn[.]com」への送信遮断を最初に行う。その後に不審なファイルやアカウント、設定の調査・削除を進める。復元・手動駆除のいずれでも全認証情報の変更が必須とされている。

補足

公式ディレクトリ「WordPress.org」で提供されている無料版「Rank Math SEO」は400万件以上のアクティブインストール数を記録しているが、WordPress.org経由で配信されており、今回の通知の対象には含まれていない。