تعرضت إضافة Rank Math SEO PRO لاختراق أمني أدى إلى تضمين برمجية خبيثة في الإصدار 3.0.123، مما أثر على المواقع التي قامت بتنزيل التحديث أو تثبيته خلال فترة زمنية قاربت 11 ساعة، وتحديداً بين الساعة 20:02 من يوم 15 أكتوبر 2026 والساعة 07:12 من يوم 16 أكتوبر بالتوقيت العالمي المنسق (UTC).
وقد استجابت شركة Rank Math بسحب الملفات المصابة وإصدار النسخة المعدلة 3.0.124، مشيرة إلى أن الحادثة طالت عدداً محدوداً من المستخدمين، دون الكشف عن تفاصيل اختراق حزمة التحديث أو رصد استغلال فعلي حتى الآن.
سجلت شركة Wordfence هذه الحادثة في قاعدة Wordfence Intelligence كشيفرة خبيثة مضمنة لا تتطلب مصادقة تحت المعرف (CVE-2026-111862 بتقييم CVSS عند 9.8). وتعمل البرمجية على تأسيس وصول دائم إلى خادم الموقع، حيث تتصل بالنطاق rank1cdn[.]com وتعيد إنشاء باب خلفي مخفي مع كل زيارة. وتتيح هذه الآلية للمهاجمين استخراج كلمات مرور WordPress، وبيانات قاعدة البيانات، ومفاتيح API، وغيرها من الأسرار الحساسة المخزنة على الخادم.
تتضمن مؤشرات الاختراق وجود ثلاثة إدخالات مشبوهة في جدول wp_options، وإنشاء حسابات إدارية تبدأ بـ wpsupport_ أو ترتبط ببريد ينتهي بـ wp-mail[.]net. كما يبرز ملف wp-includes/class-wp-cache-util.php كأحد الأدلة، إلى جانب ملفات بامتداد cache تحتوي على شيفرات PHP. وتصنف Rank Math مستوى الخطر بناءً على تفاعل المستخدم مع الإصدار المصاب؛ فمن قام بالتثبيت والتفعيل يعتبر موقعه مخترقاً بالكامل، بينما يتطلب التثبيت دون التفعيل حذف الملفات والفحص، في حين لا يشكل التنزيل المجرد أي خطر مباشر.
توصي Rank Math باستعادة المواقع من نسخ احتياطية سابقة لتاريخ 15 أكتوبر الساعة 20:02 UTC، تليها عملية فحص شاملة وتغيير لجميع بيانات الاعتماد وكلمات المرور، ثم التحديث إلى الإصدار 3.0.124 مباشرة من حسابات المستخدمين. وفي حال تعذر الاستعادة، يتطلب التنظيف اليدوي حذف مجلد rank-math-pro بالكامل، إذ أن تعطيل الإضافة لا يكفي، مع إزالة إدخالات wp_options وحظر الاتصال بالنطاق الخبيث.
وتحذر Wordfence من أن مجرد التحديث إلى الإصدار الجديد لا يزيل الملفات والحسابات التي أنشأتها البرمجية الخبيثة. كما نبهت Rank Math إلى ضرورة تجنب أي رسائل بريد إلكتروني تحتوي على روابط تنزيل، مؤكدة على أهمية إجراء التحديثات عبر موقع rankmath.com حصراً.
