10 月 15 日 20:02 到 16 日 07:12（UTC，台灣時間 16 日 04:02 到 15:12）之間，從官網下載或自動更新取得的部分 Rank Math PRO 3.0.123 被植入惡意程式。只要啟用過，就要把整個網站當成已遭入侵：從乾淨備份還原、輪換所有密碼與金鑰，再裝回乾淨的 3.0.124。給品牌網站、電商與代管團隊的應變清單。
資安課本最常講的一句話是：「請保持軟體更新。」這句話通常沒錯，直到某一天，更新本身就是攻擊。
10 月 19 日，The Hacker News 的 Swati Khandelwal 報導：WordPress 熱門 SEO 外掛 Rank Math 的付費版 Rank Math PRO，在一段約 11 小時的時間內，從官方網站下載或透過更新拿到的部分檔案被植入惡意程式。更麻煩的是，這個後門會在有人瀏覽網站時自己長回來，像一株拔不乾淨的雜草。
如果你的公司官網、電商或會員站是 WordPress，而且有買 Rank Math PRO，今天請先把這篇看完，再去喝咖啡。
事情經過：一個版本號，兩種命運
根據 Rank Math 10 月 16 日發布的安全公告（The Hacker News 與 BleepingComputer 均有引述）：
- 受影響的是 2026/10/15 20:02 UTC 到 10/16 07:12 UTC 之間，從 rankmath.com 下載或以更新方式取得的 Rank Math PRO 檔案。換成台灣時間，大約是 10 月 16 日凌晨 4 點到下午 3 點。
- 官方已移除受汙染的檔案，並推出乾淨版本 3.0.124。
- Wordfence 於 10 月 17 日發布公告，將事件編號為 CVE-2026-111862，評分 9.8。
最讓人頭痛的是：版本號沒辦法告訴你有沒有中招。Rank Math 的更新紀錄顯示 3.0.123 早在 10 月 7 日就發布了；在窗口開始前下載的 3.0.123 是乾淨的，窗口內拿到的則可能被動過手腳。同一個版本號，兩種命運。
The Hacker News 也提醒，這次只牽涉從 rankmath.com 下載與更新的 PRO 版。WordPress.org 上的免費版 Rank Math SEO（列出超過 400 萬個啟用安裝）並未被列入公告。
你的網站屬於哪一種？
官方公告把網站分成三種情況：
- 窗口內安裝並「啟用」了 3.0.123：請把網站當成已遭入侵，即使現在已經更新到 3.0.124，也要走完整個復原流程。
- 安裝了但從未啟用：刪除外掛檔案，從 Rank Math 帳號後台下載 3.0.124 重新安裝，然後跑一次資安掃描。
- 只是下載、從未安裝：單就這起事件來看，沒有跡象顯示網站被入侵。
如果你不確定當時有沒有自動更新、有沒有啟用，Rank Math 建議直接聯絡客服確認。對代管多個客戶網站的團隊來說，這時候就看得出平常有沒有保留外掛更新紀錄了。
這個後門做了什麼？
目前公開資訊主要來自 Rank Math 的公告；Rank Math 與 Wordfence 都沒有公開完整的程式分析，也沒有指出攻擊者是誰。從公告列出的跡象來看，攻擊者可能做了這些事：
- 在其他外掛資料夾、佈景主題資料夾、must-use plugins 目錄放置 PHP 後門。
- 建立帳號開頭為
wpsupport_、或 email 結尾是@wp-mail[.]net的管理員。 - 放一個假冒的核心檔案
wp-includes/class-wp-cache-util.php（WordPress 核心並沒有這個檔案）。 - 修改
.htaccess，讓.cache檔案可以被當成 PHP 執行。 - 加入排程工作與 SSH 金鑰，甚至動到 WordPress 以外、網站伺服器使用者可以寫入的位置。
結論很直接：網站能接觸到的每一組密碼、資料庫帳密、API 金鑰，都要假設已經外洩。
BleepingComputer 另外在 VirusTotal 找到一個 PHP 樣本，裡面含有與公告相同的入侵指標，並具備竊取 AWS、Cloudflare、Google Cloud、Azure 憑證與 SSH 金鑰的能力；不過該媒體也明說，無法確認這個樣本是否真的透過這次的外掛散布。
清理順序很重要：先斷根，再拔草
因為後門會「自己長回來」，所以順序錯了，等於白做。Rank Math 最推薦的做法是：如果有 10 月 15 日 20:02 UTC 之前的網站檔案與資料庫備份，直接還原，掃描、換掉所有密碼與憑證，最後才從 Rank Math 帳號安裝 3.0.124。
沒有乾淨備份的話，前三步一定要先做：
- 用主機檔案管理員或 FTP 刪除整個
rank-math-pro資料夾。公告特別強調：只停用外掛是不夠的。 - 到資料庫的
wp_options表，刪除option_name為_uf6qdn2hmm、t8krdk990phb、_np5pvf754c的項目。 - 如果主機或防火牆允許，封鎖對外連線到
rank1cdn[.]com。
接著才開始全面搜查：mu-plugins、其他外掛與非預設佈景主題的 inc/、includes/、lib/ 資料夾、uploads 目錄裡的 PHP 檔；使用 base64_decode 搭配 XOR 迴圈、金鑰 xmmqhn、proc_open 的程式碼；crontab 中標記 #ms6v46 的項目、WordPress 排程事件、SSH authorized_keys 與執行中的程序。
Wordfence 提醒了一句很重要的話：「找不到這些跡象，本身並不能證明網站是乾淨的。」
最後一步是輪換所有憑證，就算是從備份還原也一樣：WordPress 帳密、wp-config.php 的資料庫帳密與安全金鑰（salts）、金流、SMTP 與其他 API 金鑰、主機控制台、FTP／SFTP／SSH、環境變數裡的密鑰，並幫管理員開啟兩步驟驗證。完成後再用 wp core verify-checksums 檢查核心檔案。要注意的是，付費外掛通常沒有官方 checksum 可以比對；The Hacker News 10 月 19 日查詢時，WordPress.org 的服務只有免費版的 checksum。
這不是第一次，也不會是最後一次
The Hacker News 整理指出，這至少是今年第三次有付費 WordPress 外掛的「官方更新管道」送出被植入後門的版本：4 月 Nextend 的 Smart Slider 3 Pro 被汙染約 6 小時；6 月 ShapedPlugin 的 Pro 外掛也在更新管道中被植入後門，甚至出現「同一個版本號的檔案，事後被偷換」的情況。此外，6 月 Awesome Motive 的 CDN 腳本被竄改、8 月 BdThemes 的 API feed 被汙染。不過目前沒有公開資料把這些事件和這次的攻擊者連在一起。
Rank Math 隸屬瑞典主機集團 group.one，目前還沒說明惡意檔案是怎麼進入下載與更新系統、影響多少客戶，也沒有公布乾淨與受汙染檔案的雜湊值。值得玩味的是：要求大家封鎖的 rank1cdn[.]com，網域註冊時間是 10 月 14 日 19:31 UTC，比窗口開始早了大約一天。
給網站業主與工作室的五個長期習慣
- 重要網站別讓付費外掛「自動更新」直接上正式機：先在測試站裝好、跑過一兩天，再把「同一份測試過的檔案」部署到正式機，而不是讓正式機自己重新下載。這次被動手腳的檔案沿用了 10 月 7 日就發布的版本號，光看「版本夠舊」並不保險，固定一份驗證過的檔案才可靠。
- 備份要有「時間點」概念：每天自動備份檔案與資料庫，並保留至少兩週。這次能不能用「還原」解決，取決於你有沒有 10 月 15 日之前的版本。
- 建立外掛清冊：記錄每個網站用了哪些外掛、哪些是付費版、從哪裡更新。出事時，你才能在 10 分鐘內回答「我們有哪些網站受影響」。
- 限制網站伺服器的權限與對外連線：PHP 程式通常沒有理由任意連到陌生網域。主機若支援對外連線白名單，值得打開。
- 憑證不要寫死在網站裡：金流、寄信、雲端儲存的金鑰盡量用最小權限、可以隨時輪換。這次的建議是「全部換掉」，平常越分散、越容易換，出事時越不痛。
你可能會問
Q：我用的是免費版 Rank Math，要擔心嗎？
A：公告只涵蓋從 rankmath.com 下載與更新的 PRO 版，WordPress.org 上的免費版不在事件範圍內。不過，順手檢查一次管理員帳號清單永遠不是壞事。
Q：我已經更新到 3.0.124 了，是不是就沒事？
A：不一定。如果窗口內曾經啟用過 3.0.123，更新只會換掉外掛本身，不會清掉惡意程式可能放在其他地方的檔案、帳號與排程。
Q：為什麼要封鎖 rank1cdn[.]com？
A：根據 Rank Math 公告，惡意程式會和這個網域通訊。在還沒清乾淨之前切斷對外聯繫，可以降低持續受害的風險。
Q：小公司沒有資安人員，該怎麼辦？
A：先確認是否屬於「窗口內啟用」的情況；若是，最務實的做法是請主機商或網站維護廠商協助從備份還原，並列出所有要換的密碼清單逐一處理。
結語
這起事件最讓人不安的地方，不是攻擊手法多高明，而是它走的是「最值得信任的那條路」：官方網站、官方更新。對網站經營者來說，真正的防線不是「永遠不出事」，而是出事時能在一小時內知道影響範圍、在一天內還原、在一週內把所有鑰匙換新。
更新還是要做，只是別讓正式網站當第一個吃螃蟹的人。
來源：Popular WordPress SEO Plugin Rank Math PRO Hijacked to Deliver Self-Restoring Backdoor（Swati Khandelwal，The Hacker News，2026/10/19）。
延伸參考：WordPress SEO plugin Rank Math compromised to backdoor websites（Bill Toulas，BleepingComputer，2026/10/19）；Rank Math PRO WordPress Plugin Compromised in Supply Chain Attack（Ionut Arghire，SecurityWeek，2026/10/19）；Rank Math PRO Changelog（Rank Math）。