WordPress向けの人気SEOプラグイン「Rank Math PRO」のダウンロードおよび更新配信インフラが侵害され、マルウェア（自己復元型バックドア）を含む改ざんファイルが一時的に配布されていたことが明らかになりました。開発元のRank Mathおよびセキュリティ企業Wordfenceの報告によると、特定期間中に該当バージョンを導入・有効化したサイトはサーバー全体が侵害された状態になっている可能性があり、迅速な確認と対処が求められています。
The Hacker News：Popular WordPress SEO Plugin Rank Math PRO Hijacked to Deliver Self-Restoring Backdoor
この記事のポイント
影響のあるシステム
- 2026年10月15日20:02 UTCから10月16日07:12 UTCの間にrankmath.comからダウンロードされた、または更新として配信された「Rank Math PRO」バージョン3.0.123
推奨される対策
- 2026年10月15日20:02 UTC以前に取得した安全なバックアップからサイトとデータベースを復元する
- バックアップがない場合、rank-math-proディレクトリの削除、wp_optionsテーブルの特定エントリ削除、不審な外部通信の遮断を手動で実施する
- ファイアウォール等でドメイン「rank1cdn[.]com」への外向き接続をブロックする
- 公式サイトのアカウントから直接クリーンな最新版「3.0.124」をダウンロードして適用する
- データベースの認証情報、WordPressパスワード、APIキー、SSH鍵などの資格情報をすべて変更する
この記事に出てくる専門用語
- CVE-2026-111862：Wordfenceが今回のインシデントに対して割り当てた脆弱性識別子です。深刻度を示すCVSSスコアは9.8（最大10）と極めて高く評価されています。
- 自己復元型バックドア：管理者による不正ファイルの削除を回避するため、ウェブサイトへのアクセスなどを契機にして自身の裏口プログラムを再生成する悪質な仕組みです。
配信チャネルの侵害と影響範囲の特定
Rank Mathが公開したセキュリティ通知によると、同社の有料プラグイン「Rank Math PRO」の配信システムが不正アクセスを受け、悪意のあるコードが埋め込まれたパッケージが配信される事態が発生しました。この問題が発生していた期間は、2026年10月15日20:02 UTCから10月16日07:12 UTCまでの約11時間です。
重要な点として、バージョン番号単体では感染の有無を判断できません。問題となったバージョン「3.0.123」は本来10月7日付でリリースされたものであり、上記期間より前に取得されていた同バージョンは影響を受けません。また、WordPress.org公式リポジトリで提供され、400万件以上のアクティブインストールを持つ無料版「Rank Math SEO」はこのインシデントの影響対象外とされています。
Rank Mathは問題発覚後、影響を受けたファイルを配信サーバから削除し、修正版となる「3.0.124」を公開しました。しかし、すでにマルウェアが動作したサイトでは単にプラグインを上書きアップデートしただけでは侵入経路や残存する不正ファイルが除去されないため、注意が必要です。
バックドアの動作と手動復旧の手順
侵害を受けたコピーをインストールして有効化した場合、サイトへのアクセスをトリガーとしてバックドアが再生成される仕組みが組み込まれていました。攻撃者はテーマや他のプラグインのディレクトリにPHPファイルを潜伏させたり、「wpsupport_」で始まる管理者アカウントを作成したり、.htaccessを改ざんして特定の拡張子をPHPとして実行させるなど、多岐にわたる隠蔽工作を行う可能性があります。
復旧において最も推奨される方法は、問題が発生した10月15日20:02 UTC以前のバックアップからサイトおよびデータベースを完全にリストアすることです。バックアップが存在しない場合、復旧作業は決められた順序で行う必要があります。
- FTPやファイルマネージャーを使い、rank-math-proプラグインのフォルダ全体を完全に削除する（無効化だけでは不十分）
- データベースのwp_optionsテーブルから、「_uf6qdn2hmm」「t8krdk990phb」「_np5pvf754c」という名称のエントリを削除する
- ファイアウォール等で、攻撃者が10月14日に取得した外部ドメイン「rank1cdn[.]com」への発信通信を遮断する
これらの初動対応を完了した後に初めて、不審なPHPファイルや追加された管理者アカウント、改ざんされた設定の探索を進める必要があります。また、サイトからアクセス可能だったすべてのパスワード、データベース接続情報、APIキー、SSH認証鍵などのシークレット情報は漏えいしたものと見なし、全面的に再発行・更新することが求められます。
日本の組織が確認すべきポイントと推奨対策
WordPressは国内でも多くの企業・組織のウェブサイトで採用されており、Rank Math PROを導入している組織も存在すると考えられます。対象となる期間（日本時間では概ね10月16日早朝から夕方にかけて）にプラグインの更新や新規導入を実施した運用担当者は、直ちにサイトの状態を確認する必要があります。
組織内で確認および実施すべき主な対応は以下のとおりです。
- ウェブサイトの更新履歴やログを精査し、該当期間中にRank Math PROのダウンロードやアップデートが行われていないか確認する
- 感染の疑いがある場合は、単なるプラグインのアップデート（3.0.124への更新）で済ませず、提供された手順に従って侵害調査と完全なクリーンアップを行う
- 外部への不審な通信（特に「rank1cdn[.]com」宛て）の有無をネットワーク監視やプロキシのログで調査し、遮断設定を適用する
- サイト内に不正な管理者アカウントや未知のPHPファイルが配置されていないか点検し、各種APIキーやサーバ認証情報を速やかに刷新する
正規のアップデートチャネルを経由して不正プログラムが届くサプライチェーン攻撃は、従来のバージョン管理だけでは防ぐことが困難です。該当製品を利用しているサイト管理者は、ベンダーから提供された安全なバージョン「3.0.124」を公式管理画面から直接入手し直すとともに、認証情報の総点検を徹底することが重要です。
参考文献・記事一覧
投稿者プロフィール
-
サイバーセキュリティ ニュース ボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。
