WordPress : une version piégée de l’extension SEO Rank Math PRO a été distribuée avec un malware

Onze heures. C'est le temps pendant lequel la version 3.0.123 de Rank Math PRO, l'édition payante de cette extension SEO très répandue sur WordPress, a été distribuée avec un malware. Si vous l'avez installée et activée pendant cette période, votre site doit être considéré comme compromis. Voici ce qu'il faut savoir.

Lorsque l'on choisit une extension SEO pour son site WordPress, on a le choix entre 3 extensions principales : Rank Math SEO, Yoast SEO, et All in One SEO. Cette alerte de sécurité concerne la première extension de cette liste, dans sa version PRO. La page référencée sur la bibliothèque d'extensions WordPress revendique plus de 4 millions d'installations actives au total (comprenant aussi la version gratuite).

Le 16 octobre 2026, Rank Math a publié un bulletin de sécurité consacré à la version 3.0.123 de son extension PRO. Sont concernés les utilisateurs ayant téléchargé cette version, ou effectué la mise à jour, entre le 15 octobre 2026 à 20h02 UTC et le 16 octobre 2026 à 7h12 UTC. Soit entre 22h02 et 9h12, heure de Paris.

"Nous avons immédiatement supprimé les fichiers concernés et publié une version saine, Rank Math PRO v3.0.124", précise Rank Math. D'après Wordfence, l'éditeur sait quels clients ont récupéré une copie piégée, et son bulletin évoque un e-mail adressé aux personnes concernées. L'incident est référencé sous l'identifiant CVE-2026-111862.

Entre la compromission de l'infrastructure UpdraftPlus ce week-end et cet incident lié à Rank Math PRO, ça y va fort en ce moment côté WordPress.

Êtes-vous concerné ?

Si vous utilisez WordPress et l'extension Rank Math, voici trois cas de figure et des actions à entreprendre adaptées à chacun d'eux :

• Installée et activée pendant la période : le site doit être considéré comme compromis. L'éditeur recommande de restaurer les fichiers et la base de données à partir d'une sauvegarde antérieure au 15 octobre 2026, 20h02 UTC.

• Installée, mais jamais activée : supprimez les fichiers de l'extension, installez la version 3.0.124 depuis votre compte Rank Math et lancez une analyse de sécurité par précaution.

• Téléchargée, mais ni installée ni activée : selon l'éditeur, cet incident ne suffit pas à indiquer une compromission.

Attention à ne pas confondre la mise à jour et le nettoyage. En effet, la version 3.0.124 remplace l'extension malveillante, mais elle ne supprime pas les fichiers, comptes ou tâches planifiées créés ailleurs par le malware. Et si vous souhaitez savoir ce que fait ce malware, vous aurez la réponse dans la suite de cet article.

Une porte dérobée qui se reconstruit à chaque visite

D'après Rank Math, le malware peut recréer une porte dérobée cachée à chaque visite du site. Il offre un accès persistant aux attaquants et peut exposer identifiants, clés d'API et autres secrets. D'où un ordre précis en cas de nettoyage manuel : il faut d'abord couper le mécanisme de reconstruction. Cela passe par la suppression complète du dossier rank-math-pro (désactiver l'extension ne suffit pas), la suppression de l'entrée malveillante dans la table wp_options (option_name _uf6qdn2hmm, _t8krdk990phb ou _np5pvf754c) et, si possible, le blocage des connexions sortantes vers rank1cdn[.]com.

Ensuite, voici les traces à rechercher d'après les informations fournies :

• Comptes administrateurs inconnus : identifiants commençant par wpsupport_ suivi de caractères aléatoires, ou adresses e-mail en @wp-mail[.]net.

• Faux fichier ajouté au Core de WordPress : wp-includes/class-wp-cache-util.php n'est pas un fichier légitime. Supprimez-le, puis vérifiez l'intégrité du cœur avec la commande wp core verify-checksums.

• Fichiers .cache exécutés comme du PHP : via des règles ajoutées dans les fichiers .htaccess.

• Tâches planifiées : entrées marquées #ms6v46 dans la crontab de l'utilisateur du serveur web, sans oublier les événements WP-Cron.

• Code PHP suspect : dans wp-content/mu-plugins, les autres extensions et les thèmes, avec des motifs comme base64_decode associé à des boucles XOR, la clé xmmqhn ou proc_open.

Tout est détaillé dans le bulletin de sécurité publié par Rank Math. Et puis, en plus de tout ça, vous devez impérativement effectuer une rotation des secrets : mots de passe, identifiants de la base de données, clés et salts de wp-config.php, clés d'API, accès FTP et SSH.

"Ce problème concerne uniquement les utilisateurs de Rank Math PRO. Si vous utilisez la version gratuite de Rank Math SEO disponible sur WordPress.org, votre site web n'est pas concerné et aucune action n'est requise.", peut-on lire.

Dernier point : comme beaucoup d'extensions premium, Rank Math PRO se télécharge depuis le compte client de l'éditeur, pas depuis la bibliothèque officielle. Elle échappe donc à l'analyse automatisée par IA que WordPress.org applique désormais à chaque mise à jour de plugin. Toute la chaîne de confiance repose sur l'éditeur.

Ajouter IT-Connect à mes
sources préférées

Cofondateur d'IT-Connect et Microsoft MVP "Cloud and Datacenter Management". Mon obsession depuis près de 15 ans ? Rendre l'administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu'un métier, l'IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.