Rank Math 脆弱性｜SEO PRO 3.0.123にマルウェア混入、該当する時間枠と確認手順

WordPress のプラグインも取り込んだソフトウェアの一部です。手口と防御の全体像はサプライチェーン攻撃とは｜手口・防御ツール比較・npm 12の新機構まで実践解説にまとめています。本記事は、この件で自分のサイトが該当するかを確かめ、該当したら何をするかに絞ります。

Rank Math SEO PRO 3.0.123 の時系列（タイムライン）

時刻は公表どおり UTC で書き、日本時間（+9時間）を添えます。Wordfence の公表日時と 3.0.124 の公開日時は、確かめた資料に記載がありません。

何が起きたか：正規の配布経路から改ざん版が届いた

Rank Math Pro（正式名 Rank Math SEO PRO）は無料版に機能を足す有料版で、WordPress.org ではなく Rank Math から配布されます。今回は、その正規の経路から約11時間だけ改ざんされたパッケージが届きました。海賊版や偽サイトではなく、正規のライセンスで正規に更新したサイトが対象になった点が、よくあるプラグインの脆弱性と違います。

公表されている改ざん版の挙動は次のとおりです（Wordfence PSA と、Rank Math の案内を引いた各報道）。

攻撃者が何を得たかで、やるべきことが変わります。以下は WordPress の一般的な仕組みからの整理で、この件で実際に何が盗まれたかは公表されていません。

改ざん版が配布に入った経路について、Rank Math の配布基盤が侵害されたのか等を本記事は推測しません。

対策：Rank Math 脆弱性への対応は「有効化したか」で分かれる

有効化していた場合の手順は次のとおりです。

・元に戻す：時間枠（有効化した時点）より前に取ったバックアップから復元する。復元できなければ、徹底した手動の清掃を行う
・手動で清掃するなら：PRO のフォルダを丸ごと消してから、3.0.124 を Rank Math から入れ直す。報道によれば無効化だけでは足りない。裏口がページの読み込みのたびに作り直されるためだ
・秘密を差し替える：DB のパスワード、API キー、wp-config.php の認証用キーと salt。salt を替えると全員がログアウトされるので、管理者のパスワードも合わせて再設定する
・見張る：rank1cdn[.]com への外向き通信、管理者の増減、ファイルの変化を続けて見る

3.0.124 に更新しても残るもの

3.0.124 はプラグインのフォルダの中身を入れ替えます。裏口のファイルはフォルダの外（wp-includes など）に、管理者とオプションは DB に、cron はサーバーの設定に置かれるので、更新では消えません。盗まれた秘密情報はサイトをどれだけ掃除しても攻撃者の手元に残ります。Rank Math が 3.0.124 への更新だけでは不十分としているのは、このためです。

自システムの確認コマンド：Rank Math 脆弱性の痕跡を見る

WordPress のルート（wp-config.php のあるディレクトリ）で実行します。wp は WP-CLI です。どれも読み取りだけのコマンドで、見ているのは「該当する条件と、報告されている目印」です。侵害されたかどうかの判定ではありません。

0. git でサイトを管理している場合

git で配備しているサイトだけが対象です。サーバー上の作業ツリーで、リポジトリに無いファイルと、時間枠のプラグインの変更を見ます。git を使っていなければ飛ばします。

git fetch --all --prune
git log --all --since='2026-10-15' --until='2026-10-17' --format='%h %ci %s' --stat -- wp-content/plugins
git status --porcelain --untracked-files=all

git status で ?? wp-includes/class-wp-cache-util.php のような見知らぬファイルが出たら、次の 2 の目印と突き合わせます。.gitignore でプラグインやアップロードを除外していると、その下の変化は出ません。

1. 版と、時間枠に入れたか

wp plugin list --fields=name,version,status,auto_update | grep -i rank
find wp-content/plugins -maxdepth 1 -iname '*rank-math*'
zgrep -hE '\[1[56]/Oct/2026' /var/log/nginx/access.log* | grep -E 'update-core\.php|update\.php|plugin-install\.php|action=activate' | awk '{print $4, $6, $7, $9}'

1行目で、いまの版と有効かどうか（status）が分かります。wp-content/plugins/ の下に Rank Math のフォルダが2つあれば、無料版と PRO の両方を入れています。3行目は管理画面からの更新・インストール・有効化の要求を、10月15日・16日のアクセスログから拾います（nginx の combined 書式。Apache なら /var/log/apache2/access.log*）。ログの時刻はサーバーの時刻なので、日本時間のサーバーなら 10/16 05:02〜16:12 の行を見ます。

プラグイン一覧からの更新（admin-ajax.php への POST）と WP-Cron による自動更新は、URL にプラグイン名が出ないため、このログでは区別できません。自動更新の結果を知らせるメールや、ホスティングのバックアップの日時と突き合わせます。

2. 報告されている目印を探す

Rank Math 自身が挙げた目印は、rank1cdn[.]com への外向き通信と、wpsupport_ で始まる見知らぬ管理者の2つです。このほか「wp_options の不正な3キー、隠し PHP の裏口、偽の WordPress コアファイル、PHP が動く .cache ファイル、システム cron の目印」も挙がっていますが、具体名（キーの名前・wp-includes/class-wp-cache-util.php・cron の #ms6v46・管理者メールの @wp-mail[.]net）は BugShield・SecNews などの二次情報にしか無く、本記事では報告されている目印として扱います。キーの名前は先頭に _ が付く表記と付かない表記があるため、部分一致で探します。

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered --orderby=registered --order=DESC
wp option list --fields=option_name | grep -E 'uf6qdn2hmm|t8krdk990phb|np5pvf754c'
wp db search 'rank1cdn' --all-tables
grep -rlI 'rank1cdn' wp-config.php wp-content wp-includes wp-admin
find wp-includes -maxdepth 1 -name 'class-wp-cache-util.php'
grep -rlI --include='*.cache*' '<?php' wp-content wp-includes
grep -rn 'ms6v46' /etc/crontab /etc/cron.d /var/spool/cron 2>/dev/null
wp core verify-checksums

管理者一覧は登録の新しい順です。wpsupport_ で始まる名前、@wp-mail.net のメール、2026-10-15 以降に登録された覚えの無い管理者を探します。外向き通信は Web サーバーのアクセスログには残らないので、ファイアウォール・DNS・プロキシの記録で rank1cdn を探します。

結果の読み方と、このコマンドの限界

検証用の WordPress（WP-CLI 2.12.0、DB は SQLite）に目印を置いて、掲載したままのコマンドを走らせました。

最後の wp core verify-checksums は未検証です。WP-CLI はこのコマンドで、公式の一覧に無いファイルが wp-includes などにあると「File should not exist」と警告します。

読むときの注意は2つです。

・何も出なくても安全とは限らない：具体名の多くは二次情報で、攻撃者が名前を変えれば外れる。ログの保存期間を過ぎた分は確かめられず、それは「問題なし」ではない
・出ても侵害とは限らない：セキュリティプラグインの検出ルールや作業メモに rank1cdn の文字列が入っていることがある。.cache の検索はキャッシュ系プラグインのファイルも拾う

最後に判断を分けるのは「時間枠に 3.0.123 を入れて有効化したか」です。目印が出なくても、該当するなら侵害として扱います。

影響範囲：Rank Math SEO PRO の誰が対象か

WordPress 本体の脆弱性への対応と痕跡の見方は、wp2shell（CVE-2026-63030）WordPress 脆弱性｜7.0.2で修正、今の更新先と確認手順で扱っています。正規の配布物が改ざんされる攻撃が、ほかにどんな形をとるかはサプライチェーン攻撃の仕組みを図解｜なぜnpm installだけで乗っ取られるのか・攻撃6分類と防御の対応にまとめました。

参照ソース

・PSA: Malware Found in Some Rank Math SEO PRO 3.0.123 Downloads（Wordfence。Vulners 収録） — 時間枠・CVE・CVSS・Rank Math の案内・目印
・Rank Math SEO PRO Supply-Chain Compromise Exploited in the Wild via Version 3.0.123（Security Online） — 悪用されているとの報道、有効化していない場合の対応
・Rank Math SEO PRO 3.0.123: Κακόβουλος κώδικας σε 11 ώρες λήψεων（SecNews） — 10月12日の入手分がクリーンだったという Reddit の報告、目印の具体名
・Rank Math SEO PRO 3.0.123 malware: check your download time and recover safely（BugShield） — 目印の具体名、手動の清掃の手順