本文へ移動
English version →
ログイン 新規登録
JA EN FR
SecPulse
重大 9.8 急ぎ度: 至急

Rank Math SEO PROにマルウェア混入、修正版あり

WordPress 用プラグイン Rank Math SEO PRO の 3.0.123 のうち、ベンダーが示した時間帯に入手された一部のパッケージにマルウェアが混入していました。該当する版を有効化したサイトは、乗っ取られたものとして扱う必要があります。ベンダーは混入ファイルを撤去し、修正版 3.0.124 を公開しています。入手時期の確認、侵害の痕跡の調査、認証情報の入れ替えを進めてください。

CVE-2026-111862 公開 生成 AI で作成
画像は生成 AI で作成したイメージです

急ぎ度: 至急

公式の配布経路から入った改ざん版が有効化されると、サイトの乗っ取りと認証情報の流出が起こりうるとベンダーが説明しており、更新だけでは裏口が残る可能性があるためです。

関係があるか

Rank Math SEO PRO を使う WordPress サイトのうち、2026 年 10 月 15 日 20:02 UTC から 10 月 16 日 07:12 UTC(日本時間では 10 月 16 日 5:02 から 16:12)の間にパッケージをダウンロードまたは更新し、有効化した環境が対象です。3.0.123 というだけでは侵害の証明にならず、入手した時間帯で判断します。

製品影響を受ける版直った版
Rank Math SEO PRO for WordPress 3.0.123 のうち、上記の時間帯にダウンロードまたは更新されたパッケージ 3.0.124(ベンダーが改ざんファイルを撤去し、クリーンな版として公開)

確かめ方

  1. 1WordPress 管理画面の「プラグイン」、または WP-CLI で Rank Math SEO PRO の版と有効化の状態を確認します。
  2. 2版が 3.0.123 の場合、そのパッケージをいつ入手したかを調べます。自動更新の記録、デプロイや構成管理の履歴、プラグインフォルダの更新日時が手がかりです。
  3. 3入手が上記の時間帯に当たり、かつプラグインを有効化していたなら、侵害されたものとして扱い、ベンダーの告知に載っている痕跡を調べます。
  4. 4痕跡は、3 つの不審な wp_options キー、隠れた PHP ファイル、身に覚えのない管理者アカウント、偽の WordPress コアファイル、PHP として実行できる .cache ファイル、システムの cron に残る目印です。キー名や配置場所などの詳細はベンダーの告知(rankmath.com の security-incident ページ)で確認してください。

何が起きたか

WordPress で検索エンジン向けの設定を管理する有料プラグイン Rank Math SEO PRO で、配布されたパッケージの一部にマルウェアが混ざっていました。ベンダーによると、2026 年 10 月 15 日 20:02 UTC から 10 月 16 日 07:12 UTC の間にダウンロードまたは更新された 3.0.123 の一部が対象です。プラグインを有効化したサイトは、侵害されたものとして扱うよう求められています。

プラグインの欠陥を突かれる通常の脆弱性とは違い、正規の入手経路から改ざん版が届いた点に特徴があります。管理者が普通に導入や更新をしただけで、マルウェアを自分で動かすことになります。分類は CWE-506(悪意あるコードの埋め込み)で、CVSS v3 のスコアは 9.8 です。

ベンダーの説明では、マルウェアは永続的に居座る仕組みを作り、rank1cdn[.]com と通信する可能性があります。ページが表示されるたびに、隠れた裏口を再作成することもあります。Web サーバーから読める WordPress の認証情報、データベースの認証情報、API キーなどの秘密情報が漏れるおそれもあります。

ベンダーは改ざんされたファイルを撤去し、クリーンな置き換えとして 3.0.124 を公開しました。裏口が再作成される性質があるため、版を上げるだけで安心せず、侵害を前提に調査と復旧を進める必要があります。

攻撃の流れ

  1. 1

    改ざん版の配布

    正規の配布経路で、3.0.123 の一部のパッケージにマルウェアが混入していました。

  2. 2

    導入と有効化

    対象の時間帯にダウンロードまたは更新したパッケージを、サイト管理者が有効化します。

  3. 3

    裏口の設置

    外部ドメインと通信し、隠れた PHP の裏口や不正な管理者アカウントを作る可能性があります。

  4. 4

    居座りと再生成

    ページが表示されるたびに裏口が再作成され、削除しても戻る可能性があります。

  5. 5

    秘密情報の流出

    WordPress やデータベースの認証情報、API キーなどが外部に渡るおそれがあります。

公開されている情報をもとにした流れの例です。

どう悪用されるか

攻撃者がサイトへ侵入する必要はなく、利用者が改ざんされたパッケージを入手して有効化するだけで成立します。CVSS のベクターは、ネットワーク経由、認証不要、利用者の操作不要と評価していますが、実際には配布物に混入している点が前提です。対象の時間帯に入手していない環境や、有効化していない環境の扱いは、ベンダーの告知に従ってください。

悪用された場合、サイトの内容を書き換えられる、管理者権限を奪われる、Web サーバーから読める秘密情報が漏れるといった被害が考えられます。ベンダーが挙げる侵害の痕跡は、不審な wp_options キー、隠れた PHP の裏口、不正な管理者アカウント、偽のコアファイル、PHP として実行できる .cache ファイル、cron の目印です。

KEV(実際の悪用の確認)への登録や EPSS の値は、現時点で明らかになっていません。ただし、悪意あるコードそのものが配布されているため、悪用の見込みを待たず、該当する可能性のあるサイトは侵害を前提に動くのが妥当です。

今すぐやること

  1. 1

    入手時期と有効化の有無を確認する

    Rank Math SEO PRO の版を確認し、3.0.123 であれば、いつダウンロードまたは更新したかを自動更新やデプロイの記録で突き合わせます。対象の時間帯は日本時間で 10 月 16 日 5:02 から 16:12 です。

    wp plugin list --fields=name,status,version
  2. 2

    該当する場合は侵害を前提に隔離する

    対象の時間帯に入手して有効化していたなら、サイトを乗っ取られたものとして扱います。可能なら外部公開を止めるか、アクセスを制限し、調査用にログとファイルを保全します。

  3. 3

    侵害の痕跡を調べる

    ベンダーの告知に載っている不審な wp_options キー、隠れた PHP ファイル、偽のコアファイル、実行可能な .cache ファイル、cron の目印を確認します。管理者アカウントの一覧に見覚えのないものがないかも調べます。

    wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
  4. 4

    rank1cdn[.]com への通信を調べて遮断する

    プロキシ、ファイアウォール、DNS のログでこのドメインへの通信を探します。通信があれば侵害の有力な手がかりになります。調査と並行して、サーバーからの通信を遮断しておくと被害の拡大を抑えられます。

  5. 5

    認証情報と秘密情報を入れ替える

    WordPress の管理者パスワード、データベースのパスワード、API キー、wp-config.php の認証用キーやソルト、サーバーに置いてあったその他の秘密情報を、清浄な環境から新しいものに替えます。

  6. 6

    クリーンな環境へ復旧し 3.0.124 を適用する

    侵害が疑われる場合は、改ざん版の入手前に取ったバックアップへの復旧か、環境の作り直しを検討します。そのうえで 3.0.124 を入れます。裏口が再作成される性質があるため、版を上げるだけで終わらせないでください。

背景

Rank Math SEO PRO は、検索エンジンに向けたタイトル、メタ情報、構造化データなどを管理する WordPress プラグインの有料版です。企業の広報サイトやオウンドメディアで、公開コンテンツを扱う基盤として使われることが多く、管理画面の権限やデータベースの認証情報が同じサーバーに集まっています。そのため、プラグイン側が乗っ取られると影響がサイト全体に及びます。

ソフトウェアの配布経路や更新の仕組みが改ざんされ、利用者が正規の手順で入れたものにマルウェアが含まれる事案は、WordPress のプラグインに限らずこれまでも各地で報告されてきました。利用者側からは見分けにくく、自動更新を有効にしているほど早く広まります。更新の入手時期を記録しておくと、今回のような事案で影響範囲を絞りやすくなります。

よくある質問

Q.3.0.123 を使っていれば、必ず侵害されていますか。
A.いいえ。ベンダーは、影響を受けるのは対象の時間帯に入手されたパッケージだけで、3.0.123 という版番号だけでは侵害の証明にならないとしています。入手時期とプラグインの有効化の有無を確認してください。
Q.3.0.124 に更新すれば解決しますか。
A.3.0.124 はクリーンな置き換えですが、すでに改ざん版を有効化していたなら、更新だけでは裏口や不正な管理者アカウントが残る可能性があります。痕跡の調査、認証情報の入れ替え、必要に応じた復旧まで行ってください。
Q.プラグインを導入しただけで、有効化していない場合はどうなりますか。
A.ベンダーは、有効化された場合にサイトが侵害される可能性があると説明しています。有効化していなければ直ちに侵害とはされていませんが、念のため改ざん版のファイルを残さず、3.0.124 に入れ替えてください。判断に迷う場合はベンダーの告知で確認してください。
Q.どの認証情報を入れ替えればよいですか。
A.Web サーバーから読める情報はすべて対象です。ベンダーは WordPress の認証情報、データベースの認証情報、API キーなどが漏れる可能性を挙げています。

まだ分かっていないこと

  • 改ざんが起きた経緯や原因、対象になったパッケージの数は公表されていません。ベンダーの告知(rankmath.com の security-incident ページ)で最新の情報を確認してください。
  • 実際に侵害されたサイトの数や、漏れた情報が悪用されたかどうかは、現時点で明らかになっていません。
  • KEV への登録や EPSS の値は、現時点で明らかになっていません。Rank Math SEO PRO 以外の製品や版が影響を受けるかどうかも、公表されていません。

この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。

原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。

Rank Math SEO PRO for WordPress is affected by a supply-chain compromise in a subset of version 3.0.123 packages downloaded or updated between October 15, 2026 at 20:02 UTC and October 16, 2026 at 07:12 UTC. Rank Math states that the affected plugin files contained malware that could compromise a website if the plugin was activated and directs sites that activated an affected package to treat the website as compromised. The malware may establish persistent access, communicate with rank1cdn[.]com, recreate hidden backdoors on page visits, and expose WordPress credentials, database credentials, API keys, and other secrets accessible to the web server. Rank Math identifies three malicious wp_options keys, hidden PHP backdoors, unauthorized administrator accounts, a fake WordPress core file, PHP-executable .cache files, and a system cron marker as incident indicators. Only packages obtained during the vendor-confirmed window are claimed as affected; version 3.0.123 alone is not sufficient to establish compromise. Rank Math removed the affected files and released version 3.0.124 as the clean replacement.

出典: NIST National Vulnerability Database NVD GitHub Advisory

参照URL

当サイトでは、アクセス解析と広告の効果測定のために Cookie を使います。株式会社Game のサイト共通の設定です。 詳しく