Rank Math PRO malware: come rimuovere la backdoor CVE-2026-111862

Il componente a pagamento Rank Math PRO, ampiamente utilizzato per l'ottimizzazione dei siti web sui motori di ricerca, ha subito una grave violazione della catena di fornitura. Tra il 15 e il 16 ottobre 2026, i server di distribuzione del produttore hanno erogato la versione 3.0.123 contenente una porta d'accesso non autorizzata (backdoor). Chi cerca "rank math pro malware wordpress cosa fare" deve sapere subito una cosa: premere il pulsante "Aggiorna" dal pannello di controllo non basta per ripulire il sito. Occorre ripristinare un backup antecedente all'incidente o eseguire una bonifica manuale rigorosa prima di installare la versione sicura 3.0.124. La vulnerabilità è identificata dal codice CVE-2026-111862.

Dettagli della vulnerabilità CVE-2026-111862

L'incidente ha coinvolto esclusivamente la versione a pagamento del componente, identificata dalla cartella seo-by-rank-math-pro. Secondo il comunicato di sicurezza ufficiale pubblicato da Rank Math, la finestra temporale di compromissione è durata circa 11 ore e 10 minuti, esattamente dalle 20:02 UTC del 15 ottobre 2026 alle 07:12 UTC del 16 ottobre 2026. La versione gratuita presente sul catalogo ufficiale di WordPress.org non è stata toccata dall'attacco.

Wordfence Intelligence ha classificato questa vulnerabilità con un punteggio di gravità massimo, pari a CVSS 9.8 su 10, definendola come inserimento di codice malevolo senza necessità di autenticazione ("Unauthenticated Embedded Malicious Code"). Il malware è progettato con un meccanismo di persistenza avanzato: è in grado di auto-rigenerarsi a ogni singola visita alle pagine del sito web se non viene estirpato seguendo una sequenza di pulizia molto precisa. Al momento, le fonti concordano sul fatto che non sia ancora noto il vettore iniziale utilizzato dagli aggressori per violare i server del fornitore.

Perché il semplice aggiornamento non elimina le backdoor

Nelle piccole e medie imprese italiane, così come negli studi professionali, i componenti aggiuntivi vengono spesso demandati agli aggiornamenti automatici per ragioni di comodità. IlSoftware.it segnala che, in questo specifico caso, passare alla versione corretta 3.0.124 sovrascrive esclusivamente i file originali del prodotto.

Questa operazione lascia intatti nel server tutti gli elementi secondari creati dall'aggressore per garantirsi l'accesso futuro:

• Nuovi account con privilegi di amministratore creati all'insaputa dei gestori.
• Attività pianificate (cron job) a livello di sistema operativo per mantenere aperto l'accesso.
• File malevoli nascosti nelle cartelle di altri temi o componenti apparentemente innocui.

La presenza di questi accessi comporta il rischio concreto di furto delle credenziali del database (contenute nel file wp-config.php), delle chiavi API aziendali usate per le integrazioni e dei dati personali degli utenti. Questo scenario ha dirette conseguenze sugli obblighi normativi previsti dal GDPR e dalla direttiva europea NIS2 in materia di notifica degli incidenti informatici.

Indicatori di compromissione da cercare

The Hacker News e le analisi tecniche disponibili evidenziano diversi elementi specifici che confermano l'avvenuta infezione dell'infrastruttura:

• Connessioni di rete in uscita verso il dominio di comando e controllo rank1cdn.com.
• Record anomali all'interno della tabella wp_options del database: in particolare le chiavi _uf6qdn2hmm, t8krdk990phb e _np5pvf754c.
• Frammenti di codice PHP iniettati che utilizzano la funzione base64_decode combinata con cicli XOR e la chiave di decifratura xmmqhn.
• Modifiche ingannevoli al file di configurazione .htaccess per forzare il server a eseguire i file con estensione .cache come se fossero script PHP legittimi.

Cosa fare per ripulire il sito aziendale

Se il sito ha scaricato o aggiornato la versione 3.0.123 nella finestra oraria critica e il componente è stato attivato, l'intera installazione va considerata compromessa.

Soluzione definitiva tramite backup

1. Ripristinare i file e il database da un salvataggio integro creato tassativamente prima delle ore 20:02 UTC del 15 ottobre 2026.
2. Scaricare manualmente la versione sicura 3.0.124 dalla propria area riservata sul sito ufficiale di Rank Math e procedere all'installazione.
3. Cambiare tutte le credenziali: password degli utenti WordPress, utente del database MySQL, accessi FTP/SSH e chiavi API salvate nelle impostazioni.

Procedura manuale in assenza di backup

Se non si dispone di un salvataggio pulito, la sequenza deve essere rigorosa per evitare che il codice si ricrei da solo durante l'intervento:

1. Cancellare tramite protocollo SFTP o gestione file dell'hosting l'intera cartella /wp-content/plugins/seo-by-rank-math-pro/. La semplice disattivazione dal pannello di WordPress non ferma il malware.
2. Aprire il database e rimuovere i record _uf6qdn2hmm, t8krdk990phb e _np5pvf754c dalla tabella delle opzioni.
3. Bloccare nel firewall del server qualsiasi traffico in uscita verso il dominio rank1cdn.com.
4. Rimuovere eventuali account amministratore sconosciuti e pulire il file .htaccess dalle regole anomale sui file .cache.
5. Ispezionare la cartella /wp-content/mu-plugins/, le directory dei temi e le operazioni pianificate (cron) per eliminare script estranei, controllando anche il file ~/.ssh/authorized_keys.
6. Installare la versione 3.0.124 e modificare immediatamente tutte le credenziali di accesso.

Verificare nei registri di aggiornamento dei siti aziendali l'orario esatto di ricezione della versione 3.0.123 per escludere o confermare la necessità di questi interventi.

Fonti

• Allarme WordPress, Rank Math PRO compromesso: aggiornare il plugin non basta
• Rank Math SEO PRO 3.0.123 - Unauthenticated Embedded Malicious Code
• Popular WordPress SEO Plugin Rank Math Compromised to Backdoor Websites
• PRO 3.0.123 Security Incident