พบมัลแวร์ในปลั๊กอิน Rank Math PRO บน WordPress เสี่ยงทำเว็บไซต์ถูกฝัง Backdoor - Thailand Computer Emergency Response Team (ThaiCERT)

571/69 (IT) ประจำวันอังคารที่ 20 ตุลาคม 2569

ผู้พัฒนาปลั๊กอินสำหรับ WordPress ยืนยันว่าไฟล์ดาวน์โหลดของ Rank Math PRO บางส่วนจากเว็บไซต์ทางการถูกแทรกมัลแวร์ในลักษณะการโจมตีผ่านห่วงโซ่อุปทาน (Supply Chain Attack) โดยผู้ที่ดาวน์โหลดเวอร์ชัน 3.0.123 ระหว่างเวลา 20:02 น. UTC ของวันที่ 15 ตุลาคม ถึง 07:12 น. UTC ของวันที่ 16 ตุลาคม อาจได้รับไฟล์ที่ถูกแก้ไข ซึ่งสามารถทำให้เว็บไซต์ถูกควบคุมได้เมื่อเปิดใช้งานปลั๊กอิน ทั้งนี้ผู้พัฒนาระบุว่าเป็นผู้ใช้จำนวนจำกัด และได้ถอนไฟล์ที่ได้รับผลกระทบออกพร้อมปล่อยเวอร์ชันที่ปลอดภัย 3.0.124 แล้ว โดยผลกระทบจำกัดเฉพาะเวอร์ชัน PRO ซึ่งเป็นเวอร์ชันเสียเงิน ส่วนเวอร์ชันฟรีบน WordPress.org ซึ่งมีผู้ใช้งานมากกว่า 4 ล้านเว็บไซต์ไม่ได้รับผลกระทบ

สำหรับรายละเอียดของการโจมตี เมื่อมัลแวร์ถูกเปิดใช้งาน ตัวโปรแกรมจะสร้างช่องทางการเชื่อมต่อแบบถาวรไปยังโดเมนอันตรายชื่อ rank1cdn[.]com และจะทำการสร้าง Backdoor ขึ้นมาใหม่ทุกครั้งที่มีผู้เยี่ยมชมเว็บไซต์ที่ติดมัลแวร์ดังกล่าว ส่งผลให้ข้อมูลสำคัญบนเว็บเซิร์ฟเวอร์ เช่น รหัสผ่านฐานข้อมูล คีย์ API และข้อมูลความลับอื่น ๆ มีความเสี่ยงสูงที่จะรั่วไหล เบื้องต้นมีรายงานการตรวจสอบพบสคริปต์อันตรายที่เชื่อมโยงกับเหตุการณ์นี้ ซึ่งมีพฤติกรรมพยายามสร้างบัญชีผู้ดูแลระบบปลอมโดยใช้ชื่อนำหน้าว่า wpsupport_ และใช้อีเมลโดเมน @wp-mail.net รวมถึงมีวิธีการที่สามารถรันคำสั่งแก้ไขฐานข้อมูล WordPress และลักลอบขโมยข้อมูลรับรองของบริการคลาวด์ต่าง ๆ ได้

ผู้พัฒนาได้แก้ไขปัญหาเบื้องต้น ด้วยการนำไฟล์ที่ถูกแทรกมัลแวร์ออกจากระบบแล้ว และปล่อยอัปเดตเวอร์ชัน 3.0.124 ที่ปลอดภัยออกมา สำหรับผู้ดูแลระบบที่เปิดใช้งานปลั๊กอินในช่วงเวลาที่เกิดเหตุ ควรทำการกู้คืนข้อมูลจากไฟล์สำรองที่ปลอดภัย พร้อมทั้งเปลี่ยนรหัสผ่านและคีย์ระบบทั้งหมด ในกรณีที่ไม่มีไฟล์สำรอง การปิดใช้งานหรืออัปเดตปลั๊กอินเพียงอย่างเดียวจะไม่สามารถลบมัลแวร์ได้ ผู้ดูแลระบบจำเป็นต้องลบโฟลเดอร์ปลั๊กอินออกทั้งหมด ตรวจสอบและลบฐานข้อมูลที่ผิดปกติ ลบบัญชีผู้ดูแลระบบที่ไม่ได้อนุญาต และแนะนำให้บล็อกการเชื่อมต่อขาออกไปยังโดเมนอันตรายดังกล่าวเพื่อลดความเสี่ยงที่ระบบจะถูกโจมตีซ้ำในอนาคต

แหล่งข่าว : https://www.bleepingcomputer.com/news/security/wordpress-seo-plugin-rank-math-compromised-to-backdoor-websites/

571/69（IT）2026年10月20日，星期二。

Rank Math PRO 插件的开发者已确认，部分从其官方网站下载的文件在供应链攻击中被植入了恶意软件。在 ​​10 月 15 日晚上 8:02（UTC）至 10 月 16 日上午 7:12（UTC）期间下载了 3.0.123 版本的用户可能收到了被篡改的文件，这些文件在插件激活后可能允许攻击者控制网站。开发者表示，此次事件仅影响了部分用户，他们已移除受影响的文件并发布了安全版本 3.0.124。此次事件仅影响付费版 PRO 版本；WordPress.org 上的免费版本（拥有超过 400 万个网站）不受影响。

攻击详情如下：恶意软件一旦激活，便会与恶意域名 rank1cdn[.]com 建立持久连接，并在每次访客访问受感染网站时重新创建一个后门。这使得网络服务器上的敏感数据（例如数据库密码、API 密钥和其他机密信息）面临极高的泄露风险。初步调查显示，与此事件相关的恶意脚本试图使用前缀 wpsupport_ 和电子邮件地址 @wp-mail.net 创建虚假的管理员帐户。这些脚本还具备执行修改 WordPress 数据库命令以及窃取各种云服务凭据的功能。

开发人员已通过从系统中移除受恶意软件感染的文件解决了最初的问题，并发布了安全更新版本 3.0.124。事件发生期间启用该插件的系统管理员应将数据恢复到安全备份文件中，并更改所有密码和系统密钥。如果没有备份，仅禁用或更新插件无法清除恶意软件。系统管理员需要删除整个插件文件夹，检查并删除任何可疑数据库，移除未经授权的管理员帐户，并建议阻止与恶意域的出站连接，以降低未来遭受攻击的风险。

来源：https://www.bleepingcomputer.com/news/security/wordpress-seo-plugin-rank-math-compromised-to-backdoor-websites/