یک هشدار امنیتی مهم برای کاربران وردپرس منتشر شده است که طبق اطلاعیه رسمی تیم Rank Math، برخی نسخه‌های دانلودشده از افزونه پولی Rank Math PRO در بازه‌ای مشخص به بدافزار آلوده بوده‌اند. این رخداد می‌تواند به مهاجم امکان ایجاد دسترسی پنهان به سایت، تغییر فایل‌ها و ایجاد حساب‌های مدیریتی غیرمجاز را بدهد.
نکته مهم این است که این هشدار به تمام کاربران Rank Math مربوط نمی‌شود. طبق اعلام سازنده، مشکل به برخی بسته‌های نسخه 3.0.123 افزونه PRO مربوط بوده که در بازه زمانی مشخصی دانلود یا به‌روزرسانی شده‌اند. در این مطلب، جزئیات هشدار، روش بررسی سایت و اقداماتی را توضیح می‌دهیم که مدیران وردپرس باید برای کاهش خطر انجام دهند.
توجه: اگر نسخه آلوده روی سایت نصب و فعال شده باشد، فقط غیرفعال‌کردن افزونه یا نصب نسخه جدید برای اطمینان از پاک‌شدن سایت کافی نیست. در این وضعیت باید احتمال نفوذ را جدی گرفت و فرایند بررسی و پاک‌سازی امنیتی را انجام داد.
هشدار امنیتی Rank Math PRO چیست؟
در اکتبر ۲۰۲۶، تیم Rank Math اعلام کرد که برخی بسته‌های دانلودی افزونه Rank Math PRO نسخه 3.0.123 در یک بازه زمانی محدود حاوی کد مخرب بوده‌اند. این اتفاق از نوع حمله به زنجیره تامین نرم‌افزار است، یعنی به‌جای اینکه مهاجم فقط از یک آسیب‌پذیری معمول در سایت استفاده کند، نسخه‌ای از نرم‌افزار که از مسیر توزیع آن دریافت شده، آلوده بوده است.
طبق اطلاعیه سازنده، بازه دریافت نسخه‌های آلوده از ۱۵ اکتبر ۲۰۲۶ ساعت ۲۰:۰۲ تا ۱۶ اکتبر ساعت ۰۷:۱۲ به وقت UTC بوده است. تیم Rank Math اعلام کرد فایل‌های آلوده را حذف کرده و نسخه پاک جایگزین را با شماره 3.0.124 منتشر کرده است. اطلاعیه رسمی امنیتی Rank Math مرجع اصلی بررسی این رخداد است.
در گزارش‌های امنیتی منتشرشده، این رخداد با شناسه CVE-2026-111862 ثبت شده و Wordfence شدت آن را بحرانی ارزیابی کرده است. با این حال، باید میان آلوده‌بودن یک بسته مشخص و وجود یک آسیب‌پذیری عمومی در تمام نسخه‌های افزونه تفاوت قائل شد.
کدام کاربران Rank Math در معرض خطر هستند؟
بر اساس اطلاعیه رسمی، باید وضعیت سایت را در یکی از حالت‌های زیر بررسی کنی:
- نسخه 3.0.123 در بازه اعلام‌شده نصب و فعال شده است: سایت باید در وضعیت بالقوه آلوده در نظر گرفته شود و مراحل بازیابی امنیتی انجام شود.
- نسخه 3.0.123 نصب شده اما هرگز فعال نشده است: فایل‌های افزونه را حذف کن، نسخه پاک را از حساب رسمی Rank Math دریافت کن و سایت را اسکن امنیتی کن.
- فایل دانلود شده اما نصب یا فعال نشده است: صرف دانلود فایل به‌تنهایی نشان‌دهنده نفوذ به سایت نیست.
- نسخه فعلی سایت جدیدتر از نسخه اعلام‌شده است: اگر نسخه آلوده قبلا فعال شده باشد، به‌روزرسانی بعدی حتما آثار نفوذ را پاک نمی‌کند.
بنابراین، فقط نگاه‌کردن به شماره نسخه فعلی کافی نیست. زمان دانلود یا به‌روزرسانی، سابقه فعال‌بودن افزونه و هرگونه پیام هشدار رسمی دریافتی از Rank Math هم اهمیت دارد. اگر مشخص نیست فایل نصب‌شده در بازه خطر دریافت شده یا نه، با پشتیبانی رسمی Rank Math یا مدیر امنیت سرور مشورت کن.
آیا نسخه رایگان Rank Math هم آلوده شده است؟
طبق اطلاعیه رسمی این رخداد، مشکل اعلام‌شده مربوط به افزونه پولی Rank Math PRO است. سازنده اعلام کرده نسخه رایگان Rank Math SEO که از مخزن رسمی WordPress.org دریافت می‌شود، تحت تاثیر همین رخداد قرار نگرفته است.
این موضوع به معنای مصونیت همیشگی نسخه رایگان یا سایر افزونه‌ها در برابر تهدیدهای امنیتی نیست. افزونه‌ها باید از منابع معتبر دریافت شوند و به‌روزرسانی‌های امنیتی آن‌ها به‌موقع نصب شود. اگر از نسخه‌های غیررسمی، دستکاری‌شده یا موسوم به نال‌شده استفاده می‌کنی، این وضعیت جدا از رخداد اعلام‌شده است و ریسک‌های خاص خودش را دارد.
بدافزار Rank Math PRO چه کاری انجام می‌دهد؟
بر اساس اطلاعیه Rank Math و گزارش Wordfence، کد مخرب می‌تواند دسترسی پنهان ایجاد کند و در بازدیدهای بعدی از سایت، بخشی از سازوکار دسترسی مخفی را دوباره ایجاد کند. همچنین احتمال دارد تغییراتی در فایل‌ها، پایگاه داده، حساب‌های کاربری یا وظایف زمان‌بندی‌شده سایت ایجاد شده باشد.
اگر سایت با نسخه آلوده اجرا شده باشد، اطلاعاتی که برای فرایند اجرای سایت در دسترس بوده‌اند نیز باید در معرض افشا فرض شوند. این اطلاعات می‌توانند شامل رمزهای عبور ذخیره‌شده، اطلاعات اتصال پایگاه داده، کلیدهای API و اعتبارنامه سرویس‌های متصل باشند. میزان واقعی دسترسی یا افشای اطلاعات باید با بررسی امنیتی مشخص شود.
چگونه وضعیت سایت را بررسی کنیم؟
ابتدا وارد پیشخوان وردپرس شو و از بخش افزونه‌ها، نسخه نصب‌شده Rank Math PRO را بررسی کن. سپس تاریخ تقریبی نصب یا به‌روزرسانی را با بازه اعلام‌شده مقایسه کن. اگر نسخه در آن بازه دریافت و فعال شده است، بررسی را به شماره نسخه محدود نکن و سایت را بالقوه آلوده در نظر بگیر.
در مرحله بعد، این موارد را بررسی کن:
- وجود حساب‌های مدیر ناشناس یا حساب‌هایی که بدون اطلاع مالک سایت ایجاد شده‌اند.
- فایل‌های PHP ناشناس در پوشه افزونه‌ها، پوسته‌ها، افزونه‌های اجباری یا پوشه بارگذاری رسانه.
- تغییرات غیرمنتظره در فایل
.htaccessو فایل‌های اصلی وردپرس. - وظایف زمان‌بندی‌شده ناشناس در وردپرس یا سیستم‌عامل سرور.
- تغییرات مشکوک در پایگاه داده یا ارتباط‌های خروجی سرور.
- بازگشت فایل‌های مشکوک پس از حذف یا مشاهده رفتارهای غیرعادی در سایت.
وجود هر یک از این نشانه‌ها به‌تنهایی اثبات قطعی ارتباط با این رخداد نیست، اما باید توسط فرد متخصص بررسی شود. به همین ترتیب، نبودن نشانه‌های شناخته‌شده هم پاک‌بودن کامل سایت را ثابت نمی‌کند.
نشانه‌های فنی اعلام‌شده برای بررسی امنیتی
در اطلاعیه سازنده، چند نشانه فنی برای کمک به بررسی سایت منتشر شده است. این موارد برای مدیر سرور یا متخصص امنیت مفید هستند، اما حذف یا تغییر آن‌ها بدون بررسی کامل ممکن است باعث باقی‌ماندن آلودگی شود.
- ارتباط خروجی مشکوک با دامنه
rank1cdn.com. - کلیدهای غیرعادی با نام‌های
_uf6qdn2hmm،t8krdk990phbو_np5pvf754cدر جدول گزینه‌های وردپرس. - حساب‌های مدیریتی ناشناس با نام کاربری آغازشونده با
wpsupport_یا نشانی‌هایی با پسوند@wp-mail.net. - فایل
wp-includes/class-wp-cache-util.phpکه طبق اطلاعیه، فایل اصلی و معتبر وردپرس نیست. - فایل‌های PHP ناشناس، فایل‌های کش حاوی کد اجرایی یا وظایف زمان‌بندی‌شده غیرمنتظره.
این فهرست را به‌عنوان راهنمای بررسی در نظر بگیر، نه دستورالعملی برای حذف کورکورانه فایل‌ها. اگر سایت آلوده شده باشد، ممکن است آثار دیگری خارج از فهرست باقی مانده باشند.
اگر پس از نصب یا به‌روزرسانی افزونه با تغییرات مشکوک، ایجاد حساب مدیر ناشناس یا هدایت کاربران به سایت‌های دیگر روبه‌رو شده‌اید، فقط حذف افزونه کافی نیست. راهنمای رفع هک وردپرس و بازیابی سایت را بخوانید تا با مراحل بررسی آلودگی، پاک‌سازی فایل‌ها و بستن مسیر نفوذ آشنا شوید.
اگر نسخه آلوده فعال شده است، چه اقداماتی لازم است؟
اگر مشخص شده نسخه آلوده در بازه خطر فعال بوده، آن را فقط یک مشکل معمول به‌روزرسانی در نظر نگیر. هدف باید بازیابی سایت از وضعیت قابل اعتماد و جلوگیری از دسترسی مجدد مهاجم باشد.
۱. از نسخه بکاپ سالم استفاده کن
روش پیشنهادی Rank Math، بازیابی فایل‌ها و پایگاه داده از نسخه بکاپ است که پیش از آغاز بازه آلوده‌شدن، یعنی پیش از ۱۵ اکتبر ۲۰۲۶ ساعت ۲۰:۰۲ به وقت UTC تهیه شده باشد. قبل از بازگردانی، مطمئن شو بکاپ مربوط به زمانی است که سایت قابل اعتماد بوده است.
پس از بازیابی، سایت را اسکن کن، اعتبارنامه‌های در معرض خطر را تغییر بده و سپس نسخه پاک افزونه را از حساب رسمی خود دریافت کن. اگر بکاپ مطمئن در دسترس نیست، به‌جای حذف چند فایل به‌صورت تصادفی، پاک‌سازی دستی را با کمک متخصص امنیت انجام بده.
۲. افزونه آلوده را به‌تنهایی به‌روزرسانی نکن و کار را تمام‌شده ندان
اگر نسخه آلوده فعال شده باشد، جایگزین‌کردن فایل‌های افزونه با نسخه جدید، فقط خود افزونه را اصلاح می‌کند و حتما فایل‌های بکاپ مهاجم، حساب‌های ناشناس یا وظایف زمان‌بندی‌شده‌ای را که در بخش‌های دیگر ایجاد شده‌اند حذف نمی‌کند.
در روش پاک‌سازی دستی، Rank Math توصیه می‌کند مراحل مشخص‌شده در اطلاعیه به ترتیب اجرا شوند. از جمله حذف کامل پوشه افزونه آلوده، بررسی و حذف ورودی‌های مخرب مشخص‌شده در پایگاه داده و مسدودکردن ارتباط خروجی با دامنه مخرب در صورت پشتیبانی سرور. این اقدامات باید با رعایت ترتیب و با آگاهی از ساختار سایت انجام شوند.
اگر تجربه مدیریت پایگاه داده و فایل‌های سرور را نداری، نام جداول، پوشه‌ها یا ورودی‌ها را خودسرانه تغییر نده. پیش از هر تغییر، نسخه پشتیبان بگیر و از میزبان یا متخصص امنیت کمک بگیر.
۳. رمزها و کلیدهای دسترسی را تغییر بده
پس از کنترل آلودگی، رمزهای عبور و اعتبارنامه‌هایی را که سایت آلوده ممکن است به آن‌ها دسترسی داشته باشد، تعویض کن. این کار می‌تواند شامل موارد زیر باشد:
- حساب‌های مدیر وردپرس و سایر حساب‌های حساس.
- نام کاربری و رمز اتصال پایگاه داده.
- کلیدها و Saltهای امنیتی وردپرس در فایل
wp-config.php. - اعتبارنامه‌های SMTP، درگاه پرداخت و سرویس‌های متصل.
- کلیدهای API، توکن‌ها و اطلاعات دسترسی ذخیره‌شده در تنظیمات سایت.
- رمزهای کنترل‌پنل هاست، FTP، SFTP و SSH، در صورت احتمال دسترسی.
اگر سرویس‌های بیرونی مانند درگاه پرداخت یا سرویس ایمیل به سایت متصل هستند، اعتبارنامه‌های آن‌ها را هم متناسب با میزان دسترسی احتمالی بررسی و در صورت لزوم باطل یا جایگزین کن. فعال‌کردن احراز هویت دومرحله‌ای برای حساب‌های مدیریتی نیز اقدام مناسبی است.
۴. فایل‌ها و سرور را بررسی کن
پس از بازیابی یا پاک‌سازی اولیه، فایل‌های اصلی وردپرس، پوسته‌ها و افزونه‌ها را با نسخه‌های معتبر مقایسه کن. پوشه‌های افزونه‌های دیگر، پوسته‌ها، افزونه‌های اجباری و فایل‌های بارگذاری‌شده را هم بررسی کن. در سایت‌های میزبانی اشتراکی، ممکن است برای بررسی وظایف زمان‌بندی‌شده سیستم یا فایل‌های خارج از مسیر سایت به همکاری شرکت هاستینگ نیاز داشته باشی.
اگر از WP-CLI استفاده می‌کنی، دستور زیر برای بررسی تطابق فایل‌های اصلی وردپرس با چک‌سام‌های رسمی کاربرد دارد:
wp core verify-checksumsبرای بررسی فایل افزونه‌ها نیز می‌توان از دستور زیر استفاده کرد:
wp plugin verify-checksums --allتوجه کن که چک‌سام برای همه افزونه‌های پولی یا اختصاصی در دسترس نیست. اگر بررسی چک‌سام امکان‌پذیر نبود، فایل‌ها را با نسخه پاکی که از منبع رسمی دریافت شده مقایسه کن. اجرای این دستورات به‌تنهایی تضمین نمی‌کند که کل سرور پاک است.
۵. نسخه پاک را از منبع رسمی دریافت کن
طبق اطلاعیه این رخداد، نسخه پاک جایگزین Rank Math PRO با شماره 3.0.124 معرفی شده است. پیش از نصب، صفحه رسمی اطلاعیه و حساب کاربری Rank Math را بررسی کن تا نسخه پاک و به‌روز قابل دریافت را انتخاب کنی. فایل را از سایت‌های دانلود غیررسمی یا لینک‌های ناشناس دریافت نکن.
اگر ایمیلی با لینک ورود، دانلود افزونه یا درخواست اطلاعات حساب دریافت کردی، پیش از کلیک، صحت آن را بررسی کن. برای ورود به حساب، آدرس رسمی Rank Math را مستقیم در مرورگر باز کن.
چگونه از تکرار چنین رخدادهایی جلوگیری کنیم؟
هیچ روش واحدی امنیت سایت وردپرس را تضمین نمی‌کند، اما رعایت چند اصل می‌تواند خطر را کاهش دهد:
- افزونه‌ها و پوسته‌ها را از منابع رسمی و قابل اعتماد دریافت کن.
- به‌روزرسانی‌های امنیتی را به‌موقع نصب کن، اما در سایت‌های مهم پیش از به‌روزرسانی بکاپ و امکان بازگشت داشته باش.
- از بکاپ منظم فایل‌ها و دیتابیس استفاده و بازیابی آن را آزمایش کن.
- دسترسی مدیر را به افراد ضروری محدود کن و احراز هویت دومرحله‌ای را فعال کن.
- اسکن امنیتی دوره‌ای انجام بده و حساب‌های مدیر، فایل‌های غیرعادی و تغییرات سرور را زیر نظر بگیر.
- اطلاعیه‌های امنیتی سازندگان افزونه‌ها و منابعی مانند Wordfence و WPScan را پیگیری کن.
برای کاهش احتمال تکرار چنین رخدادهایی، افزونه‌ها را از منابع معتبر تهیه کنید، به‌روزرسانی‌های امنیتی را جدی بگیرید و دسترسی حساب‌های مدیریتی را بررسی کنید. در افزایش امنیت وردپرس، راهکارهای بیشتری برای محافظت از سایت و کاهش خطر نفوذ توضیح داده شده است.
جمع‌بندی
هشدار امنیتی Rank Math PRO در اکتبر ۲۰۲۶ به برخی بسته‌های آلوده نسخه 3.0.123 مربوط است که در یک بازه زمانی مشخص دانلود یا به‌روزرسانی شده‌اند. نسخه رایگان Rank Math SEO طبق اطلاعیه سازنده تحت تاثیر همین رخداد قرار نگرفته است، اما مدیران سایت‌هایی که نسخه آلوده را فعال کرده‌اند باید احتمال نفوذ را جدی بگیرند.
اگر سایت در بازه اعلام‌شده نسخه آلوده را فعال کرده است، فقط به‌روزرسانی افزونه کافی نیست. بازیابی از نسخه بکاپ سالم، بررسی فایل‌ها و حساب‌های مدیریتی، تعویض اعتبارنامه‌ها و اسکن امنیتی باید بخشی از فرایند بازیابی باشد. در صورت نداشتن تجربه فنی، پاک‌سازی را به متخصص امنیت یا شرکت میزبانی بسپار.
