La célèbre extension d'optimisation pour les moteurs de recherche (SEO) pour les blogs WordPress, Rank Math PRO, a subi une faille de sécurité via une attaque par chaîne d'approvisionnement (Supply Chain Attack), entraînant la distribution de paquets logiciels contenant des logiciels malveillants permettant de prendre le contrôle total des sites sur lesquels l'extension était activée.
Le développeur a précisé que les versions affectées se limitaient à la version 3.0.123, qui a été téléchargée ou mise à jour au cours d'une fenêtre temporelle spécifique ayant débuté le 15 octobre 2026 à 20:02 UTC et s'étant étendue jusqu'au 16 octobre 2026 à 07:12 UTC.
Nature des risques et impacts sur la sécurité
Les logiciels malveillants injectés exposent les sites infectés à des risques graves, permettant aux attaquants de :
- Obtenir des privilèges d'accès permanents et persistants au site ciblé.
- Extraire des identifiants, des clés d'interface de programmation d'application (API Keys) et d'autres informations sensibles.
- Recréer une porte dérobée (Backdoor) invisible à chaque nouvelle visite sur les pages du site.
- Modifier les fichiers du noyau WordPress et les fichiers .htaccess, en plus de manipuler les tâches planifiées et les fichiers de cache.
Mesures de remédiation et de restauration requises
L'entreprise éditrice s'est empressée de supprimer les fichiers contaminés et de publier une version propre portant le numéro 3.0.124. Cependant, elle a appelé tous les utilisateurs ayant installé ou activé la version 3.0.123 pendant la fenêtre d'infection à considérer leurs sites comme étant totalement compromis.
L'entreprise a recommandé les étapes suivantes pour nettoyer les sites :
- Restaurer entièrement le site à partir d'une sauvegarde propre créée avant l'incident.
- En cas d'impossibilité de restauration, supprimer définitivement le dossier de l'extension, supprimer les enregistrements malveillants de la base de données et bloquer le domaine des attaquants rank1cdn[.]com.
- Rechercher et supprimer les fichiers PHP suspects, ainsi que surveiller tout compte administrateur inconnu ou toute modification en dehors de l'installation WordPress, tels que les fichiers SSH et autres chemins système.
- Changer tous les mots de passe après avoir vérifié minutieusement la propreté du site et réinstallé la version sécurisée de l'extension.