Allarme WordPress, Rank Math PRO compromesso: aggiornare il plugin non basta

Un aggiornamento software può trasformarsi in un serio problema di sicurezza quando il pacchetto distribuito agli utenti viene alterato da soggetti malintenzionati. È quanto accaduto a Rank Math PRO, il componente premium per l’ottimizzazione SEO dei siti realizzati con WordPress.

Alcuni pacchetti del plugin hanno incorporato codice malevolo capace di compromettere le installazioni nelle quali veniva attivato. L’episodio riporta l’attenzione sulla sicurezza della catena di distribuzione del software e sui rischi legati alla fiducia riposta negli aggiornamenti ufficiali.

Per gli amministratori, la priorità consiste nel verificare l’effettiva esposizione del proprio sito e nel comprendere quali controlli siano necessari per evitare che un’infezione comprometta dati, credenziali e continuità del servizio.

Rank Math PRO, come si è diffuso il malware

Secondo le informazioni pubblicate dal produttore e riprese da BetaNews, la versione 3.0.123 di Rank Math PRO è stata distribuita con file compromessi tra il 15 e il 16 ottobre 2026, in una finestra temporale di circa 11 ore. L’azienda ha ritirato i pacchetti interessati e reso disponibile la versione corretta 3.0.124. L’incidente riguarda l’edizione a pagamento, mentre il plugin gratuito distribuito attraverso WordPress.org non risulta coinvolto.

Il codice dannoso poteva stabilire un accesso persistente al sito, comunicare con un dominio esterno e ricreare componenti nascosti utilizzati per mantenere il controllo dell’installazione. Il rischio non si esauriva quindi nella presenza di un file sospetto: l’attività malevola poteva estendersi alle credenziali e alle informazioni accessibili dal server, comprese quelle impiegate per collegarsi a servizi esterni.

Gli indicatori individuati dagli esperti comprendono file PHP anomali, modifiche al database e account amministrativi sconosciuti. Tra gli elementi da verificare figurano anche il file sospetto wp-includes/class-wp-cache-util.php e gli account con il prefisso wpsupport_. Queste tracce possono aiutare a orientare l’analisi tecnica, ma la loro assenza non costituisce, da sola, una garanzia di sicurezza.

Un aspetto importante riguarda la provenienza effettiva del pacchetto: il semplice riscontro del numero di versione non dimostra automaticamente che l’installazione sia stata infettata. Occorre ricostruire la cronologia dei download e stabilire se il file utilizzato appartenga alla distribuzione compromessa. Rank Math dispone dei registri dei download e ha comunicato di poter identificare i clienti coinvolti.

Come intervenire per proteggere il sito WordPress

Chi ha attivato una copia compromessa deve considerare il sito potenzialmente violato e affrontare un ripristino completo.

La procedura indicata dal produttore privilegia il recupero dei file e del database da un backup affidabile precedente all’incidente, seguito da una scansione approfondita. È inoltre necessario modificare le password, le chiavi di sicurezza e le credenziali dei servizi collegati, perché potrebbero essere state esposte durante l’intrusione.

Quando non esiste una copia di sicurezza attendibile, la bonifica richiede un’analisi manuale dell’intera installazione. È opportuno controllare gli account privilegiati, le attività pianificate, i file modificati e gli eventuali accessi persistenti al di fuori della directory del plugin. Gli amministratori che non dispongono delle competenze necessarie dovrebbero rivolgersi al proprio hosting provider o a uno specialista di sicurezza informatica. Disattivare il componente o sostituirne semplicemente i file non garantisce l’eliminazione delle modifiche già introdotte.