Một số tệp cài đặt Rank Math PRO 3.0.123 tải từ website chính thức đã bị chèn mã độc trong khoảng 11 giờ. Quản trị viên đã kích hoạt bản bị ảnh hưởng cần coi website là đã bị xâm nhập, bởi việc cập nhật plugin không tự loại bỏ cửa hậu và thông tin xác thực có thể đã lộ.
Khoảng thời gian bị ảnh hưởng
Rank Math cho biết sự cố chỉ liên quan bản PRO 3.0.123 được tải từ 20:02 UTC ngày 15/10 đến 07:12 UTC ngày 16/10/2026. Hãng đã gỡ tệp bị can thiệp và phát hành bản sạch 3.0.124. Bản miễn phí trên kho WordPress.org không bị ảnh hưởng.
Mã độc làm gì trên website?
Theo cảnh báo của nhà cung cấp, mã độc duy trì quyền truy cập, liên lạc với tên miền rank1cdn[.]com và có thể tái tạo cửa hậu khi có người truy cập website. Dấu vết cần chú ý gồm tệp giả wp-includes/class-wp-cache-util.php, tài khoản quản trị bắt đầu bằng wpsupport_, địa chỉ email miền wp-mail[.]net và tác vụ cron mang dấu #ms6v46.
Nguy cơ không dừng ở WordPress
Máy chủ web thường giữ mật khẩu cơ sở dữ liệu, khóa API, thông tin SMTP, khóa dịch vụ đám mây và đôi khi cả khóa SSH. Vì vậy, kẻ tấn công có thể mở rộng phạm vi khỏi một plugin SEO. BleepingComputer cũng phân tích một mẫu PHP có chỉ dấu liên quan, nhưng chưa xác nhận mẫu này được phân phối trực tiếp trong gói plugin bị can thiệp.
Ai phải hành động ngay?
Website đã cài và kích hoạt 3.0.123 trong khung thời gian nêu trên phải được coi là đã bị xâm nhập. Nếu chỉ tải hoặc cài nhưng chưa kích hoạt, quản trị viên nên xóa gói cũ, cài 3.0.124 từ tài khoản Rank Math và quét bảo mật. Người dùng bản miễn phí không cần hành động vì sự cố này.
Khôi phục từ bản sao lưu sạch
Phương án ưu tiên là khôi phục cả tệp và cơ sở dữ liệu từ bản sao trước 20:02 UTC ngày 15/10, sau đó quét lại và cài bản sạch. Bản sao lưu phải có trước thời điểm xâm nhập; nếu cửa hậu đã nằm trong bản sao, việc phục hồi sẽ đưa mã độc trở lại.
Không thể chỉ vô hiệu hóa plugin
Rank Math nhấn mạnh việc vô hiệu hóa hoặc cập nhật plugin không đủ. Khi không có bản sao lưu sạch, cần xóa toàn bộ thư mục rank-math-pro, loại bỏ các mục cơ sở dữ liệu độc hại được hãng công bố, chặn kết nối ra rank1cdn[.]com, rồi rà soát plugin, theme, thư mục uploads, tệp .htaccess, tài khoản quản trị và lịch tác vụ.
Xoay vòng mọi bí mật có thể đã lộ
Sau khi cô lập và làm sạch, quản trị viên cần thay mật khẩu WordPress, hosting, FTP/SFTP và SSH; đổi thông tin cơ sở dữ liệu; tạo lại security keys và salts; thu hồi rồi cấp lại khóa API, SMTP, thanh toán và dịch vụ đám mây. Nhật ký đăng nhập, tiến trình và kết nối ra ngoài cũng cần được bảo toàn để điều tra.
Bài học từ sự cố chuỗi cung ứng
Gói tải từ website chính thức vẫn có thể trở thành kênh phát tán nếu hạ tầng phát hành bị xâm nhập. Tổ chức nên lưu dấu kiểm tệp, giới hạn quyền của tiến trình web, tách bí mật khỏi mã nguồn, giám sát thay đổi và thử định kỳ khả năng phục hồi. Những biện pháp này giảm thiệt hại ngay cả khi một nhà cung cấp đáng tin cậy gặp sự cố.
Kết luận
Sự cố Rank Math PRO là lời nhắc rằng cập nhật lên phiên bản mới chỉ xử lý nguồn phát tán, không xóa được quyền truy cập đã được thiết lập. Website từng kích hoạt 3.0.123 trong cửa sổ ảnh hưởng cần phục hồi hoặc làm sạch toàn diện, xoay vòng bí mật và tiếp tục giám sát sau xử lý.
VNCyberS tổng hợp từ Rank Math và BleepingComputer
Tiếng Việt
English