نسخه آلوده Rank Math PRO به سایت‌های وردپرسی درِ پشتی اضافه کرد

برخی از مدیران سایت‌های وردپرسی که نسخه حرفه‌ای افزونه Rank Math را از وب‌سایت رسمی این شرکت دریافت کرده‌اند، باید احتمال نفوذ را جدی بگیرند. بنا بر گزارش BleepingComputer، بخشی از بسته‌های دانلودی Rank Math PRO نسخه ۳.۰.۱۲۳ در فاصله ساعت ۲۰:۰۲ روز ۱۵ اکتبر تا ۰۷:۱۲ روز ۱۶ اکتبر ۲۰۲۶ به وقت هماهنگ جهانی آلوده بوده‌اند؛ بازه‌ای نزدیک به ۱۱ ساعت که در آن نصب و فعال‌سازی افزونه می‌توانسته یک درِ پشتی پایدار روی سایت ایجاد کند.

نسخه پاک ۳.۰.۱۲۴ اکنون منتشر شده است، اما نکته اصلی این رخداد صرفاً شماره نسخه نیست. اگر بسته آلوده روی یک سایت فعال شده باشد، جایگزین‌کردن افزونه با نسخه سالم یا غیرفعال‌کردن آن لزوماً آثار نفوذ را حذف نمی‌کند. در چنین وضعی، مدیر سایت باید کل محیط وردپرس و اطلاعات محرمانه متصل به آن را در معرض خطر فرض کند تا بررسی فنی خلاف آن را ثابت کند.

چه سایت‌هایی در معرض خطرند؟

دامنه رخداد به نسخه پولی Rank Math PRO محدود است. نسخه رایگان Rank Math که از مخزن رسمی WordPress.org توزیع می‌شود، در این گزارش آلوده اعلام نشده است. همچنین هر سایتی که Rank Math PRO را نصب کرده الزاماً قربانی نشده؛ خطر اصلی متوجه کسانی است که نسخه ۳.۰.۱۲۳ را در همان بازه زمانی مشخص از وب‌سایت رسمی دریافت و سپس فعال کرده‌اند.

این تفکیک اهمیت زیادی دارد. دانلود بسته آلوده بدون فعال‌سازی، از نظر مسیر اجرایی با سایتی که افزونه را فعال کرده یکسان نیست. توصیه منتشرشده برای حالتی که فایل فقط دریافت شده اما فعال نشده، حذف کامل آن، دریافت نسخه پاک ۳.۰.۱۲۴ و اجرای اسکن امنیتی است. اما اگر افزونه آلوده فعال شده باشد، باید احتمال ایجاد دسترسی ماندگار، تغییر در پایگاه داده و افشای اسرار فنی را بررسی کرد.

در زمان انتشار گزارش، شمار دقیق سایت‌های متاثر مشخص نبود. مسیر اولیه‌ای که مهاجمان با آن فایل‌های توزیعی را تغییر داده‌اند نیز علنی نشده است. بنابراین نمی‌توان از این رخداد نتیجه گرفت که همه کاربران Rank Math یا همه نصب‌های نسخه حرفه‌ای آلوده‌اند؛ معیار تصمیم باید شماره نسخه، زمان دریافت و سابقه فعال‌سازی باشد.

درِ پشتی چگونه ماندگار می‌شد؟

بر اساس تحلیل منتشرشده، کد مخرب پس از اجرا می‌توانست با یک دامنه فرماندهی و کنترل ارتباط برقرار کند و سازوکاری برای ایجاد دوباره درِ پشتی داشته باشد. این ماندگاری یعنی حذف یا غیرفعال‌کردن افزونه لزوماً پایان ماجرا نیست؛ زیرا بخشی از تغییرات ممکن است بیرون از پوشه افزونه و در فایل‌های دیگر، پایگاه داده، وظایف زمان‌بندی‌شده یا حساب‌های مدیریتی باقی بماند.

گزارش همچنین هشدار می‌دهد که اطلاعات حساس در دسترس وب‌سرور می‌تواند در معرض سرقت قرار گیرد؛ از جمله اعتبارنامه پایگاه داده، کلیدهای API و اسراری که در فایل‌های پیکربندی یا محیط میزبانی ذخیره شده‌اند. این داده‌ها فقط برای ورود به پیشخوان وردپرس کاربرد ندارند و گاهی به سرویس‌های ابری، سامانه ایمیل، درگاه‌ها یا ابزارهای توسعه متصل‌اند؛ بنابراین دامنه بررسی نباید به تغییر رمز مدیر وردپرس محدود شود.

BleepingComputer یک نمونه PHP را بررسی کرده که نشانه‌های فنی همسو با این رخداد داشت و قابلیت‌هایی مانند اجرای دستور، دست‌کاری پایگاه داده و دستیابی به برخی اطلاعات محرمانه را نشان می‌داد. با این حال، این رسانه تاکید کرده نتوانسته مستقلاً تایید کند که همین فایل مشخص دقیقاً از طریق بسته آلوده Rank Math توزیع شده است. در نتیجه، قابلیت‌های آن نمونه باید یک یافته فنی مرتبط تلقی شود، نه اثبات قطعی درباره تمام نصب‌های متاثر.

چرا به‌روزرسانی به نسخه ۳.۰.۱۲۴ کافی نیست؟

به‌روزرسانی، فایل افزونه را به نسخه سالم برمی‌گرداند، اما هر تغییر قبلی مهاجم را خودکار معکوس نمی‌کند. اگر درِ پشتی در فایل دیگری کپی شده باشد، حساب مدیریتی تازه‌ای ساخته شده باشد یا داده‌ای در پایگاه داده برای اجرای مجدد کد قرار گرفته باشد، نصب نسخه پاک می‌تواند در کنار یک آلودگی فعال باقی بماند.

به همین دلیل، سایت‌هایی که نسخه آلوده را فعال کرده‌اند باید رخداد را مانند یک نفوذ تاییدشده مدیریت کنند. اولویت نخست جلوگیری از ادامه دسترسی و حفظ شواهد لازم برای بررسی است؛ سپس باید پاک‌سازی فایل‌ها و پایگاه داده، بازبینی حساب‌ها و وظایف زمان‌بندی‌شده و چرخش اسرار انجام شود. اگر سازمان نسخه پشتیبان سالم و مربوط به پیش از بازه آلودگی دارد، بازیابی کنترل‌شده از آن می‌تواند مسیر مطمئن‌تری از تلاش برای حذف چند فایل مشکوک باشد.

مدیران سایت چه اقداماتی انجام دهند؟

• نسخه و زمان دریافت را مشخص کنید: بررسی کنید Rank Math PRO ۳.۰.۱۲۳ چه زمانی دانلود شده و آیا در سایت فعال شده است. سوابق دانلود، نصب و تغییرات فایل‌ها را پیش از پاک‌سازی حفظ کنید.
• در صورت فعال‌سازی، سایت را آلوده فرض کنید: دسترسی عمومی یا مدیریتی را در حد لازم محدود کنید و از یک متخصص امنیت یا تیم میزبان بخواهید فایل‌ها، پایگاه داده، حساب‌های کاربری و وظایف زمان‌بندی‌شده را بررسی کند.
• از نسخه سالم بازیابی یا پاک‌سازی کامل انجام دهید: تنها غیرفعال‌کردن افزونه کافی نیست. پوشه نسخه آلوده باید حذف شود و بازگردانی از نسخه پشتیبان پاک، همراه با اسکن کامل و بررسی تغییرات پایگاه داده، در اولویت باشد.
• اسرار را پس از پاک‌سازی تعویض کنید: رمزهای وردپرس و پایگاه داده، کلیدهای API، کلیدهای سرویس‌های ابری، کلیدهای SSH و کلیدهای امنیتی وردپرس را بازنشانی کنید. چرخش زودهنگام رمزها روی سیستمی که هنوز آلوده است می‌تواند اطلاعات تازه را نیز در معرض مهاجم بگذارد.
• ارتباطات مشکوک را پایش کنید: گزارش ترافیک خروجی، رویدادهای ورود و تغییرات فایل را برای نشانه‌های ارتباط با دامنه فرماندهی اعلام‌شده و فعالیت‌های غیرعادی بررسی کنید. مسدودسازی دامنه شناخته‌شده یک اقدام دفاعی است، اما جای پاک‌سازی را نمی‌گیرد.
• نسخه پاک را از مسیر رسمی دریافت کنید: پس از اطمینان از پاک‌بودن محیط، Rank Math PRO ۳.۰.۱۲۴ یا نسخه سالم جدیدتر را نصب و دوباره صحت فایل را بررسی کنید.

اگر نسخه ۳.۰.۱۲۳ فقط دانلود شده و هرگز فعال نشده است، خطر اجرایی کمتر است؛ با این حال باید بسته حذف شود، نسخه پاک دریافت شود و اسکن امنیتی انجام گیرد. در سایت‌های چندمدیره نیز لازم است سوابق نصب بررسی شود، زیرا ممکن است یک مدیر فایل را بارگذاری کرده و مدیر دیگری آن را فعال کرده باشد.

چه چیزهایی هنوز معلوم نیست؟

دو پرسش کلیدی در زمان انتشار بی‌پاسخ مانده است: چند سایت واقعاً بسته آلوده را نصب و فعال کرده‌اند، و مهاجمان چگونه توانسته‌اند فایل توزیعی را روی مسیر رسمی تغییر دهند. تا روشن‌شدن این موارد، نمی‌توان اندازه واقعی حادثه یا همه مسیرهای احتمالی دسترسی را تعیین کرد.

این رخداد بار دیگر نشان می‌دهد امضای برند یا دریافت فایل از وب‌سایت رسمی به‌تنهایی تضمین نمی‌کند زنجیره تامین نرم‌افزار در تمام لحظات سالم بوده است. ثبت زمان دانلود، نگهداری نسخه پشتیبان خارج از سرور، محدودکردن دسترسی افزونه‌ها و پایش تغییرات فایل می‌تواند زمان تشخیص را کوتاه کند. برای کاربران عادی Rank Math Free، بر اساس اطلاعات فعلی اقدامی فراتر از به‌روزرسانی‌های معمول توصیه نشده است؛ هشدار حاضر مشخصاً درباره Rank Math PRO و بسته نسخه ۳.۰.۱۲۳ در بازه اعلام‌شده است.

منبع

• BleepingComputer — WordPress SEO plugin Rank Math compromised to backdoor websites، ۱۹ اکتبر ۲۰۲۶