Rank Math SEO PRO bị cài mã độc ngay trong gói cập nhật, website đã kích hoạt cần coi như bị chiếm quyền
Nội dung bài viết

Nhà phát triển plugin SEO Rank Math xác nhận một số bản Rank Math SEO PRO 3.0.123 phát hành qua kênh chính thức đã bị chèn mã độc. Đây là một vụ tấn công chuỗi cung ứng: website không mắc lỗi cấu hình hay dùng bản lậu, mà nhận mã độc ngay từ bản cập nhật do chính nhà phát triển phân phối.

Wordfence đã gán mã CVE-2026-111862 với điểm CVSS 9.8. Bản sạch thay thế là 3.0.124.

Ai bị ảnh hưởng?

Rank Math giới hạn sự cố trong khoảng thời gian tải về hoặc cập nhật lên bản 3.0.123:

  • Bắt đầu: 20:02 UTC ngày 15/10/2026 (03:02 sáng 16/10 giờ Việt Nam)
  • Kết thúc: 07:12 UTC ngày 16/10/2026 (14:12 chiều 16/10 giờ Việt Nam)

Chỉ đang chạy bản 3.0.123 thì chưa chắc website đã bị nhiễm, vì bản 3.0.123 tải ngoài khung giờ trên là bản sạch. Cách xử lý tùy trường hợp:

Tình huốngCần làm
Đã cài và kích hoạt bản nhiễmCoi website đã bị chiếm quyền, khôi phục toàn bộ
Đã cài nhưng chưa kích hoạtXóa thư mục plugin, cài 3.0.124 từ tài khoản Rank Math, quét bảo mật
Chỉ tải file về, chưa càiTheo Rank Math, chưa có dấu hiệu website bị ảnh hưởng

Rank Math có danh sách người dùng đã tải bản nhiễm. Nếu bạn nhận được thông báo từ họ, hãy làm theo hướng dẫn khôi phục kể cả khi website hiện đã chạy phiên bản khác.

Mã độc làm gì?

Theo thông báo của Rank Math và phân tích của Wordfence, mã độc:

  • tạo backdoor ẩn tự tái tạo mỗi khi có người truy cập website;
  • liên lạc với máy chủ điều khiển rank1cdn[.]com;
  • tạo tài khoản quản trị lạ, cài tác vụ định kỳ (cron) ở cấp hệ thống;
  • có thể làm lộ mật khẩu WordPress, thông tin database, khóa API và mọi bí mật khác mà web server đọc được.

Vì vậy, cập nhật lên 3.0.124 chỉ thay gói plugin, không gỡ được file, tài khoản hay tác vụ mà mã độc đã cài ở nơi khác.

Dấu hiệu nhận biết

Có các dấu hiệu dưới đây thì cần điều tra ngay. Không thấy dấu hiệu nào cũng chưa chứng minh được website sạch.

Database

  • Bảng wp_options có bản ghi tên _uf6qdn2hmm, t8krdk990phb hoặc _np5pvf754c.

Tài khoản

  • Tài khoản quản trị lạ có tên bắt đầu bằng wpsupport_.
  • Tài khoản dùng email đuôi @wp-mail[.]net.

File và máy chủ

  • File wp-includes/class-wp-cache-util.php - đây không phải file lõi của WordPress.
  • File PHP ở vị trí bất thường: wp-content/mu-plugins/, thư mục của plugin khác, các thư mục inc/, includes/, lib/ của theme, thư mục includes/ của Rank Math, thư mục uploads.
  • Mã PHP chứa base64_decode kèm vòng lặp XOR, khóa xmmqhn, proc_open hoặc đoạn kết nối socket PHP-FPM.
  • File .htaccess có quy tắc cho phép chạy file .cache như PHP; file .cache chứa mã PHP.
  • Tác vụ cron của user web server có chuỗi đánh dấu #ms6v46.

Mạng

  • Kết nối ra ngoài tới rank1cdn[.]com.

Cách khôi phục

Cách 1 - có bản sao lưu sạch (khuyến nghị): khôi phục cả file và database từ bản sao lưu tạo trước 20:02 UTC ngày 15/10/2026, quét lại website, đổi toàn bộ mật khẩu và khóa bí mật, rồi cài Rank Math SEO PRO 3.0.124.

Cách 2 - không có bản sao lưu: phải dọn thủ công, nên nhờ chuyên gia hoặc nhà cung cấp hosting. Làm đúng thứ tự để backdoor không tự tái tạo:

  1. Xóa hẳn thư mục plugin rank-math-pro - chỉ tắt plugin là không đủ.
  2. Xóa 3 bản ghi _uf6qdn2hmm, t8krdk990phb, _np5pvf754c trong bảng wp_options.
  3. Chặn kết nối ra ngoài tới rank1cdn[.]com nếu hosting hoặc firewall hỗ trợ.
  4. Sau đó mới rà và xóa các file, tài khoản, cron còn lại theo danh sách dấu hiệu ở trên. Cài lại WordPress, plugin, theme từ nguồn tin cậy.

Dùng WP-CLI để đối chiếu file với bản gốc:

wp core verify-checksums
wp plugin verify-checksums --all

Plugin trả phí thường không có checksum công khai, cần so sánh thủ công với bản tải trực tiếp từ nhà phát triển.

Đổi mật khẩu là bắt buộc, kể cả khi đã khôi phục từ bản sao lưu: mật khẩu WordPress, database, security keys và salts trong wp-config.php, khóa API, tài khoản cổng thanh toán và dịch vụ email, panel hosting, FTP/SFTP/SSH. Kiểm tra lại cả cài đặt xác thực hai lớp của quản trị viên.

Sau khi dọn, tiếp tục theo dõi kết nối ra ngoài và kiểm tra xem file đã xóa có xuất hiện lại không. Nếu có, nghĩa là việc dọn dẹp chưa triệt để.

Cảnh giác email giả mạo

Hãy tải bản 3.0.124 bằng cách tự gõ địa chỉ rankmath.com và đăng nhập tài khoản. Rank Math cho biết họ không gửi đường link đăng nhập hay tải plugin qua email, nên mọi email kiểu "cập nhật khẩn bản vá Rank Math" kèm link đều cần coi là đáng ngờ.

Nguồn tham khảo: Wordfence, BleepingComputer, SecurityWeek và thông báo bảo mật của Rank Math.