Rank Math PRO ปลั๊กอิน SEO ยอดนิยมของ WordPress ถูกยึดช่องทางอัปเดต ส่งแบ็กดอร์ที่ฟื้นตัวเองได้ — CVE-2026-111862 CVSS 9.8

สรุปสั้น

Rank Math PRO ปลั๊กอิน SEO แบบเสียเงินสำหรับ WordPress ถูกโจมตีห่วงโซ่อุปทานผ่านช่องทางดาวน์โหลดและอัปเดตของผู้พัฒนาเอง สำเนาที่ดาวน์โหลดจาก rankmath.com หรือได้รับผ่านการอัปเดตระหว่างเวลา 20:02 UTC วันที่ 15 ตุลาคม ถึง 07:12 UTC วันที่ 16 ตุลาคม 2569 มีมัลแวร์ฝังอยู่ ตามประกาศความปลอดภัยของ Rank Math เมื่อวันที่ 16 ตุลาคม เว็บไซต์ใดที่ติดตั้งและเปิดใช้สำเนาดังกล่าวต้องถือว่าถูกบุกรุกแล้ว เพราะมัลแวร์สามารถสร้างแบ็กดอร์ที่ซ่อนไว้ขึ้นมาใหม่ได้ทุกครั้งที่มีคนเข้าเว็บไซต์

Rank Math ถอดไฟล์ที่ได้รับผลกระทบออกและออกเวอร์ชัน 3.0.124 ที่สะอาดแล้ว แต่ Wordfence เตือนว่าการติดตั้งเวอร์ชันใหม่เพียงแทนที่ตัวปลั๊กอิน ไม่ได้ลบไฟล์ บัญชีผู้ดูแล หรืองานตั้งเวลาที่มัลแวร์อาจวางไว้ที่อื่นบนเซิร์ฟเวอร์ Wordfence ให้รหัส CVE-2026-111862 คะแนน 9.8 จาก 10 ส่วน Patchstack ระบุว่าเพราะการโจมตีเกิดบนระบบของ Rank Math เอง จึงสร้างกฎป้องกันไม่ได้ เหตุการณ์นี้กระทบเฉพาะรุ่น PRO ส่วนรุ่นฟรีบน WordPress.org ที่มีการติดตั้งกว่า 4 ล้านแห่งไม่ได้ถูกระบุในประกาศ

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 19 ตุลาคม 2569 ว่า หมายเลขเวอร์ชันบอกไม่ได้ว่าสำเนาใดได้รับผลกระทบ เพราะ changelog ของ Rank Math ลงวันที่เวอร์ชัน 3.0.123 ไว้ตั้งแต่ 7 ตุลาคม ก่อนช่วงเวลาที่มีมัลแวร์กว่าหนึ่งสัปดาห์ สำเนา 3.0.123 ที่ได้มาก่อน 20:02 UTC วันที่ 15 ตุลาคมจึงไม่ได้รับผลกระทบ ประกาศแบ่งเว็บไซต์เป็น 3 กรณี

• ติดตั้งและเปิดใช้ในช่วงเวลาดังกล่าว — ถือว่าถูกบุกรุก แม้จะอัปเดตเป็น 3.0.124 แล้วก็ตาม ต้องทำขั้นตอนกู้คืนเต็มรูปแบบ
• ติดตั้งแต่ไม่เคยเปิดใช้ — ลบไฟล์ปลั๊กอิน ติดตั้ง 3.0.124 จากบัญชี Rank Math และสแกนความปลอดภัย
• ดาวน์โหลดแต่ไม่เคยติดตั้ง — เหตุการณ์นี้อย่างเดียวไม่บ่งชี้ว่าเว็บถูกบุกรุก

Rank Math ซึ่งเป็นส่วนหนึ่งของกลุ่มโฮสติ้ง group.one จากสวีเดน ยังไม่ระบุว่าไฟล์อันตรายเข้าสู่ระบบดาวน์โหลดและอัปเดตได้อย่างไร มีลูกค้าได้รับกี่ราย การอัปเดตอัตโนมัติส่งไฟล์ไปด้วยหรือไม่ และค่าแฮชของแพ็กเกจสะอาดกับแพ็กเกจที่ถูกฝังมัลแวร์คืออะไร ข้อมูลทะเบียนโดเมนแสดงว่า rank1cdn[.]com ที่ Rank Math ให้บล็อก ถูกจดเมื่อ 19:31 UTC วันที่ 14 ตุลาคม ราวหนึ่งวันก่อนช่วงเวลาดังกล่าวเริ่ม

วิธีการโจมตี

ข้อมูลเกี่ยวกับมัลแวร์มาจากประกาศของ Rank Math เท่านั้น ทั้ง Rank Math และ Wordfence ไม่ได้เผยแพร่การวิเคราะห์โค้ดหรือระบุตัวผู้อยู่เบื้องหลัง สิ่งที่ทราบคือผู้โจมตีอาจทิ้งร่องรอยไว้หลายจุด ได้แก่

• ไฟล์แบ็กดอร์ PHP ในโฟลเดอร์ของปลั๊กอินอื่น ในโฟลเดอร์ธีม และในไดเรกทอรี must-use plugins (wp-content/mu-plugins/)
• บัญชีผู้ดูแลที่สร้างขึ้นใหม่
• ไฟล์ core ของ WordPress ปลอมชื่อ wp-includes/class-wp-cache-util.php
• กฎใน .htaccess ที่ทำให้ไฟล์ .cache ถูกรันเป็น PHP
• งานตั้งเวลา (cron) และกุญแจ SSH

กลไกที่สร้างแบ็กดอร์คืนได้เองทำให้ลำดับการกำจัดสำคัญมาก หากลบไฟล์ต้องสงสัยก่อนหยุดตัวที่สร้างแบ็กดอร์ขึ้นใหม่ ปัญหาอาจไม่หายไป นอกจากนี้ รหัสผ่าน ข้อมูลรับรองฐานข้อมูล กุญแจ API หรือความลับอื่นที่เว็บไซต์เข้าถึงได้ ต้องถือว่ารั่วแล้วทั้งหมด

นี่เป็นอย่างน้อยครั้งที่สามของปีที่ช่องทางอัปเดตของปลั๊กอิน WordPress แบบพรีเมียมส่งไฟล์ที่ถูกฝังแบ็กดอร์ เมษายนระบบอัปเดตของ Nextend ส่ง Smart Slider 3 Pro ที่มีแบ็กดอร์อยู่ราว 6 ชั่วโมง มิถุนายนพบว่าปลั๊กอิน Pro ของ ShapedPlugin ถูกฝังแบ็กดอร์ในช่องทางอัปเดต และแพ็กเกจหนึ่งที่เคยสะอาดถูก “แก้ไขภายใต้หมายเลขเวอร์ชันเดิม” ซึ่งเป็นกับดักเดียวกับที่ลูกค้า Rank Math เจอ ยังไม่มีข้อมูลเชื่อมโยงผู้โจมตีของเหตุการณ์เหล่านั้นกับครั้งนี้

ผลกระทบ

เว็บไซต์ที่ได้รับผลกระทบเสี่ยงถูกควบคุมทั้งเว็บ ทั้งข้อมูลผู้ใช้ ข้อมูลรับรองฐานข้อมูล กุญแจ payment gateway และ SMTP รวมถึงสิทธิ์เข้าถึงโฮสติ้งผ่าน FTP, SFTP และ SSH แบ็กดอร์ที่ฟื้นตัวเองได้และร่องรอยที่กระจายอยู่นอกโฟลเดอร์ปลั๊กอิน ทำให้การ “อัปเดตแล้วจบ” ไม่พอ ผู้ดูแลที่อัปเดตเป็น 3.0.124 แล้วอาจเข้าใจผิดว่าปลอดภัย

ปัญหาอีกชั้นคือการตรวจความถูกต้องของไฟล์ทำได้ยาก WordPress.org ไม่มี checksum สำหรับปลั๊กอินพรีเมียมตัวนี้ The Hacker News ตรวจเมื่อ 19 ตุลาคมไม่พบไฟล์ checksum ของรุ่น PRO ทั้งที่มีของรุ่นฟรี และ Rank Math ยังไม่เผยค่าแฮช เหตุการณ์ซ้ำ ๆ ปีนี้ยังสะท้อนว่าช่องทางอัปเดตที่ผู้พัฒนาปลั๊กอินพรีเมียมดูแลเองกลายเป็นเป้าที่ผู้โจมตีให้ความสนใจ

คำแนะนำ

ทางเลือกที่ดีที่สุด — กู้คืนจากแบ็กอัป หากมีแบ็กอัปเว็บไซต์และฐานข้อมูลก่อน 20:02 UTC วันที่ 15 ตุลาคม 2569 ให้กู้คืน สแกนความปลอดภัย เปลี่ยนรหัสผ่านและข้อมูลรับรองทั้งหมด แล้วจึงติดตั้ง 3.0.124 จากบัญชี Rank Math

หากไม่มีแบ็กอัปที่สะอาด ให้ทำ 3 ข้อนี้ก่อนแตะส่วนอื่น

1. ลบโฟลเดอร์ rank-math-pro ทั้งโฟลเดอร์ผ่าน file manager หรือ FTP (“การปิดใช้งานปลั๊กอินอย่างเดียวไม่เพียงพอ”)
2. ในตาราง wp_options ลบรายการที่ option_name เป็น _uf6qdn2hmm, t8krdk990phb หรือ _np5pvf754c
3. บล็อกการเชื่อมต่อขาออกไปยัง rank1cdn[.]com

จากนั้นค้นหาร่องรอยอื่น — ไฟล์ PHP ใน wp-content/mu-plugins/ โฟลเดอร์ปลั๊กอินอื่น โฟลเดอร์ inc/, includes/, lib/ ของธีมที่ไม่ใช่ค่าเริ่มต้น และใน uploads/ · โค้ด PHP ที่ใช้ base64_decode ร่วมกับลูป XOR, คีย์ xmmqhn, proc_open หรือโค้ด socket ของ PHP-FPM · บัญชีแอดมินที่ขึ้นต้นด้วย wpsupport_ หรืออีเมลลงท้าย @wp-mail[.]net · crontab ของผู้ใช้เว็บเซิร์ฟเวอร์ที่มีแท็ก #ms6v46 · ไฟล์ authorized_keys และโพรเซสที่กำลังรัน Wordfence เตือนว่า “การไม่พบร่องรอยเหล่านี้ไม่ได้พิสูจน์ว่าเว็บไซต์สะอาด”

เปลี่ยนข้อมูลรับรองทุกกรณี แม้กู้จากแบ็กอัปแล้ว — รหัสผ่าน WordPress, ชื่อผู้ใช้และรหัสผ่านฐานข้อมูลใน wp-config.php, security keys และ salts, กุญแจ payment gateway, SMTP และ API อื่น, รหัสผ่าน control panel, FTP, SFTP และ SSH, ความลับใน environment variables และ 2FA ของผู้ดูแล

ปิดงาน — สแกนความปลอดภัย รัน wp core verify-checksums และ wp plugin verify-checksums --all (ปลั๊กอินพรีเมียมอาจไม่มี checksum) แล้วติดตั้ง 3.0.124 เป็นขั้นสุดท้าย โดยล็อกอินที่ rankmath.com โดยตรง Rank Math จะไม่ส่งลิงก์ล็อกอินหรือดาวน์โหลดทางอีเมล

Indicators of Compromise (IoCs)

โดเมนถูก defang แล้ว

แหล่งอ้างอิง

• Popular WordPress SEO Plugin Rank Math PRO Hijacked to Deliver Self-Restoring Backdoor — The Hacker News
• Rank Math PRO 3.0.123 Security Incident — Rank Math
• Rank Math SEO PRO 3.0.123 Malware — Wordfence
• Rank Math SEO PRO 3.0.123 Embedded Malicious Code — Patchstack