Plugin Rank Math SEO PRO 3.0.123 bị cài cửa hậu ngay trong bản tải chính thức
Trong 11 tiếng ngày 15–16/10, ai tải hoặc cập nhật Rank Math SEO PRO 3.0.123 đều nhận bản có mã độc tạo tài khoản admin lạ và cửa hậu tự hồi sinh. Cách kiểm tra và dọn dẹp từng bước.
Rank Math là một trong những plugin SEO phổ biến nhất của WordPress. Bản trả phí Rank Math SEO PRO 3.0.123 đã bị cài mã độc ngay trong file tải chính thức từ trang của hãng.
Lỗ hổng mang mã CVE-2026-111862, điểm 9,8/10.
Ai bị ảnh hưởng
- Chỉ bản PRO 3.0.123 tải hoặc cập nhật trong khoảng từ 3 giờ 02 sáng đến 14 giờ 12 chiều ngày 16/10 (giờ Việt Nam)
- Bản miễn phí trên WordPress.org không bị ảnh hưởng
- Có bản 3.0.123 chưa chắc đã bị nhiễm, nếu bạn tải ngoài khung giờ trên
- Mã độc chỉ chạy khi plugin được kích hoạt
Rank Math chỉ nói là “một số ít người dùng” bị ảnh hưởng, và chưa công bố hacker vào được hệ thống phát hành bằng cách nào.
Mã độc làm gì
- Kết nối về tên miền
rank1cdn.com - Cài cửa hậu ẩn, tự tạo lại mỗi khi có người vào trang
- Tạo tài khoản admin lạ, tên bắt đầu bằng
wpsupport_, email đuôi@wp-mail.net - Thêm file giả làm file lõi WordPress:
wp-includes/class-wp-cache-util.php - Sửa
.htaccessđể file.cachechạy như code PHP - Thêm cron job, có thể thêm cả khóa SSH ngoài thư mục web
- Đọc được mọi mật khẩu và API key mà site có quyền đọc
Kiểm tra site của bạn
Nếu có WP-CLI:
wp plugin list | grep rank-math-pro
wp user list --role=administrator
wp core verify-checksums
wp plugin verify-checksums --all
wp cron event listKiểm tra thêm:
- Bảng
wp_optionscó các dòng_uf6qdn2hmm,t8krdk990phb,_np5pvf754c - File
.htaccess, file PHP tronguploads/, các file.cachelạ - Crontab của hệ thống có dòng chứa
#ms6v46
Dọn dẹp: cập nhật thôi là chưa đủ
Bản sạch là 3.0.124, tải từ tài khoản rankmath.com của bạn (Rank Math không bao giờ gửi link tải qua email). Nhưng cập nhật plugin không gỡ được cửa hậu đã cài.
Cách tốt nhất: khôi phục bản sao lưu từ trước 3 giờ sáng 16/10 (giờ Việt Nam), quét lại, đổi toàn bộ mật khẩu và khóa, rồi mới cài 3.0.124.
Nếu không có bản sao lưu, làm theo thứ tự:
- Xóa hẳn thư mục
rank-math-pro(tắt plugin thôi là không đủ), xóa ba dòngwp_optionsở trên, chặn kết nối rarank1cdn.com - Gỡ cửa hậu (xem cả
mu-plugins, plugin và theme khác), tài khoản admin lạ, file lõi giả, các dòng.htaccess, cron, khóa SSH lạ - Đổi hết mật khẩu WordPress, mật khẩu database trong
wp-config.php, salt, API key, SMTP, tài khoản hosting, FTP, SSH - Theo dõi vài ngày xem file đã xóa có tự xuất hiện lại không
Bài học
Bạn không làm gì sai cả, chỉ bấm cập nhật một plugin trả phí từ đúng trang chính chủ. Đây là kiểu tấn công chuỗi cung ứng khó phòng nhất. Thứ cứu được bạn là sao lưu định kỳ và biết trên site đang có những gì, để phát hiện ra điểm lạ.
Site WordPress của bạn có sao lưu tự động không? Kể trong cộng đồng Vibe Code & Bảo Mật nhé.
Nguồn
- PRO 3.0.123 security incident, Rank Math
- Rank Math SEO PRO 3.0.123: Unauthenticated Embedded Malicious Code, Patchstack
- CVE-2026-111862, OpenCVE
- Rank Math PRO WordPress plugin compromised in supply chain attack, SecurityWeek
Plugin Rank Math SEO PRO 3.0.123 bi cai cua hau ngay trong ban tai chinh thuc Trong 11 tieng ngay 15–16/10, ai tai hoac cap nhat Rank Math SEO PRO 3.0.123 deu nhan ban co ma doc tao tai khoan admin la va cua hau tu hoi sinh. Cach kiem tra va don dep tung buoc. WordPress chuoi cung ung ma doc Rank Math la mot trong nhung plugin SEO pho bien nhat cua WordPress. Ban tra phi **Rank Math SEO PRO 3.0.123** da bi cai ma doc **ngay trong file tai chinh thuc** tu trang cua hang.
Lo hong mang ma **CVE-2026-111862**, diem **9,8/10**.
## Ai bi anh huong
- Chi ban **PRO 3.0.123** tai hoac cap nhat trong khoang **tu 3 gio 02 sang den 14 gio 12 chieu ngay 16/10** (gio Viet Nam)
- **Ban mien phi** tren WordPress.org **khong bi anh huong**
- Co ban 3.0.123 chua chac da bi nhiem, neu ban tai ngoai khung gio tren
- Ma doc **chi chay khi plugin duoc kich hoat**
Rank Math chi noi la "mot so it nguoi dung" bi anh huong, va chua cong bo hacker vao duoc he thong phat hanh bang cach nao.
## Ma doc lam gi
- Ket noi ve ten mien `rank1cdn.com`
- Cai cua hau an, **tu tao lai moi khi co nguoi vao trang**
- Tao tai khoan admin la, ten bat dau bang `wpsupport_`, email duoi `@wp-mail.net`
- Them file gia lam file loi WordPress: `wp-includes/class-wp-cache-util.php`
- Sua `.htaccess` de file `.cache` chay nhu code PHP
- Them cron job, co the them ca khoa SSH ngoai thu muc web
- Doc duoc moi mat khau va API key ma site co quyen doc
## Kiem tra site cua ban
Neu co WP-CLI:
```bash
wp plugin list | grep rank-math-pro
wp user list --role=administrator
wp core verify-checksums
wp plugin verify-checksums --all
wp cron event list
```
Kiem tra them:
- Bang `wp_options` co cac dong `_uf6qdn2hmm`, `t8krdk990phb`, `_np5pvf754c`
- File `.htaccess`, file PHP trong `uploads/`, cac file `.cache` la
- Crontab cua he thong co dong chua `#ms6v46`
## Don dep: cap nhat thoi la chua du
Ban sach la **3.0.124**, tai tu tai khoan rankmath.com cua ban (Rank Math **khong bao gio gui link tai qua email**). Nhung cap nhat plugin **khong go duoc cua hau da cai**.
**Cach tot nhat:** khoi phuc ban sao luu tu **truoc 3 gio sang 16/10** (gio Viet Nam), quet lai, doi toan bo mat khau va khoa, roi moi cai 3.0.124.
**Neu khong co ban sao luu**, lam theo thu tu:
1. Xoa han thu muc `rank-math-pro` (tat plugin thoi la khong du), xoa ba dong `wp_options` o tren, chan ket noi ra `rank1cdn.com`
2. Go cua hau (xem ca `mu-plugins`, plugin va theme khac), tai khoan admin la, file loi gia, cac dong `.htaccess`, cron, khoa SSH la
3. Doi het mat khau WordPress, mat khau database trong `wp-config.php`, salt, API key, SMTP, tai khoan hosting, FTP, SSH
4. Theo doi vai ngay xem file da xoa co tu xuat hien lai khong
## Bai hoc
Ban khong lam gi sai ca, chi bam cap nhat mot plugin tra phi tu dung trang chinh chu. Day la kieu tan cong chuoi cung ung kho phong nhat. Thu cuu duoc ban la **sao luu dinh ky** va **biet tren site dang co nhung gi**, de phat hien ra diem la.
---
Site WordPress cua ban co sao luu tu dong khong? Ke trong [cong dong Vibe Code & Bao Mat](https://www.facebook.com/groups/1867387324580254) nhe.
## Nguon
- [PRO 3.0.123 security incident](https://rankmath.com/kb/pro-3-0-123-security-incident/), Rank Math
- [Rank Math SEO PRO 3.0.123: Unauthenticated Embedded Malicious Code](https://patchstack.com/database/wordpress/plugin/seo-by-rank-math-pro/vulnerability/wordpress-rank-math-seo-pro-plugin-3-0-123-unauthenticated-embedded-malicious-code-vulnerability), Patchstack
- [CVE-2026-111862](https://app.opencve.io/cve/CVE-2026-111862), OpenCVE
- [Rank Math PRO WordPress plugin compromised in supply chain attack](https://www.securityweek.com/rank-math-pro-wordpress-plugin-compromised-in-supply-chain-attack/), SecurityWeek