O plugin de SEO mais popular do WordPress, Rank Math PRO, sofreu um incidente de segurança grave na versão 3.0.123, distribuída entre 15 e 16 de outubro de 2026. A equipe do Rank Math confirmou que arquivos maliciosos foram inseridos em um subconjunto dos pacotes baixados durante esse período, permitindo que atacantes comprometessem sites que ativaram a versão infectada.
O que aconteceu
De acordo com o comunicado oficial da equipe de desenvolvimento, o problema afeta exclusivamente usuários que baixaram Rank Math PRO v3.0.123 entre 20h02 UTC de 15 de outubro e 07h12 UTC de 16 de outubro. Os arquivos comprometidos continham código malicioso que, uma vez ativado, poderia instalar backdoors, criar contas administrativas fraudulentas e modificar arquivos do núcleo do WordPress.
A equipe imediatamente removeu os arquivos afetados e lançou uma versão limpa. No entanto, a recomendação é que todos os usuários verifiquem ativamente seus sites para sinais de comprometimento.
Como identificar e remover o malware
O comunicado técnico detalha vários pontos de verificação críticos:
Contas administrativas suspeitas: Procure por usuários com nomes iniciados por wpsupport_ seguidos de caracteres aleatórios, ou contas com e-mails terminados em @wp-mail[.]net. Utilize o comando wp user list --role=administrator via WP-CLI para auditar todos os administradores.
Arquivo falso do núcleo: Verifique a presença de wp-includes/class-wp-cache-util.php, que não é um arquivo legítimo do WordPress. Caso exista, remova-o e execute wp core verify-checksums para validar a integridade do núcleo.
Arquivos .htaccess e .cache: Inspecione o arquivo .htaccess na raiz do site e em subdiretórios, procurando regras que permitam a execução de arquivos .cache como PHP. Busque também arquivos .cache contendo código PHP em diretórios do servidor.
Tarefas agendadas e cron jobs: Revise o crontab do usuário do servidor web em busca de entradas marcadas com #ms6v46. Utilize wp cron event list para auditar eventos agendados do WordPress.
Plugins, temas e uploads: Reinstale plugins e temas de suas fontes oficiais, comparando com cópias limpas. Verifique o diretório uploads/ por arquivos PHP, que geralmente não devem existir ali.
Impacto e recomendações
Este incidente destaca os riscos de cadeias de suprimento em ecossistemas de software aberto. Mesmo plugins populares e bem estabelecidos podem ser vetores de ataque se suas integrações de distribuição forem comprometidas.
A recomendação imediata para administradores de WordPress é:
- Atualizar imediatamente para a versão mais recente do Rank Math PRO
- Executar uma verificação completa de malware com ferramentas como Wordfence ou Sucuri
- Auditar todos os usuários administrativos e remover qualquer conta suspeita
- Verificar a integridade dos arquivos do núcleo do WordPress
- Revisar logs de acesso e ações suspeitas
O incidente reforça a necessidade de monitoramento contínuo e de processos de resposta a incidentes bem definidos para sites WordPress, especialmente aqueles que utilizam plugins de terceiros.
Fontes e referências
Encontrou uma informação que precisa de correção? Fale com a redação.