L'extension WordPress Rank Math PRO a distribué une mise à jour piégée pendant onze heures

Le 15 octobre à 20 h 02 UTC, Rank Math PRO a commencé à distribuer sa version 3.0.123 aux clients de cette extension WordPress pour le référencement. Certaines copies contenaient un logiciel malveillant. La distribution a duré jusqu'au 16 octobre à 7 h 12 UTC, soit de 22 h 02 à 9 h 12, heure de Paris. L'éditeur a publié un avis de sécurité le 16 octobre, Wordfence une alerte le 17.

Rank Math est très répandu : sa version gratuite compte plus de 4 millions d'installations actives, selon WordPress.org. L'avis de l'éditeur ne porte que sur la version payante PRO. L'éditeur parle d'un « nombre limité d'utilisateurs », sans chiffre, et n'explique pas comment le code malveillant est entré dans son paquet.

Ce que fait le code caché

Wordfence a enregistré l'incident sous la référence CVE-2026-111862 (note de 9,8 sur 10). Selon lui, le programme pourrait s'installer durablement sur le site et communiquer avec le domaine rank1cdn[.]com. Il peut recréer une porte dérobée cachée à chaque visite du site. Il pourrait aussi exposer les mots de passe WordPress, les accès à la base de données, les clés d'API et les autres secrets lisibles par le serveur.

Rank Math a retiré les fichiers et publié une version saine, la 3.0.124. Mais la mise à jour ne suffit pas : elle ne supprime ni les fichiers, ni les comptes, ni les tâches planifiées que le programme a pu créer ailleurs.

Votre site est-il concerné ?

Le numéro de version seul ne prouve rien : seules les copies récupérées pendant ces onze heures sont touchées. L'éditeur distingue trois cas.

• Extension installée et activée pendant cette période : le site doit être traité comme compromis.
• Installée mais jamais activée : supprimer les fichiers, installer la 3.0.124 et lancer une analyse de sécurité.
• Seulement téléchargée : selon Rank Math, rien n'indique une compromission.

Nettoyer sans laisser la porte se rouvrir

La meilleure solution est de restaurer le site et la base à partir d'une sauvegarde antérieure au 15 octobre, 20 h 02 UTC. Sinon, il faut respecter l'ordre des opérations, car le programme se réinstalle dès qu'une page est visitée :

1. supprimer tout le dossier rank-math-pro (le désactiver ne suffit pas) ;
2. effacer de la table wp_options les entrées _uf6qdn2hmm, t8krdk990phb et _np5pvf754c ;
3. bloquer si possible les connexions sortantes vers rank1cdn[.]com.

Il faut ensuite chercher les autres traces signalées par l'éditeur. D'abord, des comptes administrateurs inconnus dont le nom commence par wpsupport_ ou dont l'adresse se termine par @wp-mail[.]net. Ensuite, le faux fichier wp-includes/class-wp-cache-util.php et des fichiers .cache contenant du PHP. Enfin, des règles .htaccess qui rendent ces fichiers exécutables et des tâches planifiées marquées #ms6v46. Une fois le site nettoyé, changez tous les secrets : mots de passe, accès à la base, clés et sels WordPress, clés d'API, accès SMTP, FTP, SFTP et SSH.

Rank Math précise qu'il n'enverra jamais de lien de connexion ou de téléchargement par e-mail : un tel message serait de l'hameçonnage. Lors de la faille du module Bricksforge, une extension WordPress exposait déjà les sites. Cette fois, c'est la mise à jour elle-même qui était dangereuse. Reste à savoir comment le paquet a été modifié : l'éditeur promet de renforcer ses mesures, sans détailler la cause.