Rank Math PRO piraté : la version 3.0.123 cachait une porte dérobée ⚠️

Rank Math compte parmi les extensions de référencement les plus installées sur WordPress, et c’est ce qui rend l’incident sérieux : pendant une nuit, la mise à jour officielle de sa version payante a servi de cheval de Troie.

Que s’est-il passé avec Rank Math PRO ?

Des fichiers piégés de Rank Math PRO 3.0.123 ont été distribués par le canal officiel de l’éditeur, ce que l’on appelle une attaque de la chaîne d’approvisionnement. Le paquet de mise à jour lui-même contenait du code malveillant, livré entre le 15 octobre 2026 à 20 h 02 UTC et le 16 octobre à 7 h 12 UTC.

Rank Math a publié son avis de sécurité le 16 octobre au soir, a retiré les fichiers concernés et a mis en ligne une version propre, la 3.0.124. Wordfence a ensuite enregistré l’incident sous la référence CVE-2026-111862, avec une note de gravité CVSS de 9,8 sur 10 (le CVSS est l’échelle standard qui mesure la dangerosité d’une faille). Patchstack précise qu’aucune règle de pare-feu ne peut bloquer ce type d’attaque.

Si vous découvrez des signes d’intrusion en lisant la suite, notre service de nettoyage de site WordPress piraté peut prendre le relais.

Votre site est-il concerné ?

Votre site n’est concerné que s’il utilise Rank Math PRO et si la version 3.0.123 a été téléchargée puis activée pendant la fenêtre du 15 au 16 octobre. La version gratuite, installée sur plus de 4 millions de sites depuis le répertoire officiel de WordPress, n’est pas touchée et ne demande aucune action.

Pour vérifier, ouvrez le menu Extensions puis Extensions installées dans votre administration et regardez le numéro de version de Rank Math PRO. Deux situations se présentent :

• La 3.0.123 a été installée et activée pendant le créneau : le site doit être traité comme compromis, même si tout semble fonctionner normalement.
• La 3.0.123 a été installée mais jamais activée : supprimez les fichiers concernés, installez la 3.0.124 et lancez une analyse de sécurité.

Attention, être passé depuis à la 3.0.124 ne nettoie pas un site déjà infecté, car le logiciel malveillant s’installe ailleurs que dans le dossier de l’extension.

Que fait ce logiciel malveillant ?

Il ouvre aux pirates un accès durable au site et à tout ce que le serveur peut lire, mots de passe et clés d’API compris. Il peut notamment :

• recréer une porte dérobée cachée à chaque visite d’une page, ce qui rend le nettoyage manuel particulièrement difficile (une porte dérobée est un accès secret pour revenir sur le site) ;
• déposer un faux fichier du cœur de WordPress et modifier le fichier .htaccess pour faire exécuter des fichiers .cache comme du code PHP ;
• modifier d’autres extensions et thèmes et agir en dehors du dossier WordPress.

Ce scénario rappelle celui des extensions Essential Plugin piégées au printemps : le site continue de s’afficher normalement pendant que les pirates s’y installent.

Comment repérer une infection ?

Les signes à rechercher sont précis et publiés par Rank Math. Les plus faciles à contrôler :

• des comptes administrateurs inconnus dont l’identifiant commence par wpsupport_ ou dont l’adresse e-mail se termine par @wp-mail.net ;
• un fichier wp-includes/class-wp-cache-util.php, qui n’appartient pas à WordPress ;
• trois entrées dans la table wp_options de la base de données : _uf6qdn2hmm, t8krdk990phb et _np5pvf754c ;
• des connexions sortantes vers le domaine rank1cdn.com ;
• des fichiers .cache contenant du PHP et des fichiers PHP dans le dossier uploads.

Une analyse avec un outil comme Wordfence ou Sucuri complète utilement ce contrôle, et notre scanner de sécurité WordPress gratuit permet un premier regard depuis l’extérieur.

Que faire si votre site a reçu la version piégée ?

La solution la plus sûre consiste à restaurer le site et sa base de données à partir d’une sauvegarde faite avant le 15 octobre 2026 à 22 h 02 (heure de Paris), puis à changer tous les accès. L’ordre que nous suivons :

1. Restaurer une sauvegarde saine

Restaurez fichiers et base de données à partir d’une sauvegarde antérieure à l’incident, puis lancez une analyse de sécurité. C’est la voie que recommande l’éditeur.

2. À défaut, couper la source du logiciel malveillant

Sans sauvegarde, supprimez entièrement le dossier rank-math-pro (le désactiver ne suffit pas), effacez les trois entrées de wp_options citées plus haut et, si votre hébergeur le permet, bloquez les connexions sortantes vers rank1cdn.com. Il faut ensuite traquer les fichiers et comptes ajoutés.

3. Changer absolument tous les accès

Mots de passe WordPress, identifiants de la base de données, clés de sécurité, clés d’API, accès à l’hébergement, au FTP et au SSH : tout ce que le serveur pouvait lire est à considérer comme connu des pirates.

4. Installer la version 3.0.124 depuis le site officiel

Connectez-vous directement sur rankmath.com pour télécharger la 3.0.124. L’éditeur n’envoie jamais de lien de téléchargement par e-mail : un tel message serait une tentative d’hameçonnage.

5. Surveiller les jours suivants

Relancez une analyse et contrôlez que les fichiers supprimés ne réapparaissent pas. S’ils reviennent, c’est le moment de vous arrêter et de faire appel à un professionnel. Le nettoyage d’un site piraté avec fermeture de la faille demande en général 3 à 6 heures, soit 210 à 420 € TTC au tarif normal.