Rank Math PRO comprometido: seu site WordPress foi afetado?

Entre quinta e sexta-feira, 15 e 16 de outubro de 2026, uma versão do plugin Rank Math PRO, muito usado para SEO em sites WordPress, foi distribuída com malware. Se você tem um site em WordPress, este texto ajuda a descobrir se o seu foi afetado e o que fazer. Os fatos vêm do aviso oficial da Rank Math e das reportagens do SecurityWeek e do BleepingComputer, de 19 de outubro.

O que aconteceu

Segundo a Rank Math, os pacotes da versão PRO 3.0.123 baixados entre 15/10/2026 às 20h02 UTC e 16/10/2026 às 07h12 UTC (cerca de 11 horas) continham arquivos com malware. Se o plugin foi ativado, o código pode comprometer o site. A empresa removeu os arquivos afetados e publicou a versão limpa, 3.0.124.

É o que se chama de ataque à cadeia de suprimentos: o problema não está em uma falha do seu site, e sim em um arquivo que veio de um fornecedor confiável.

Quem foi afetado e quem não foi

Afetados: quem baixou o Rank Math PRO 3.0.123 na janela indicada. Segundo o aviso, são "um número limitado de usuários".
Não afetados: quem usa a versão gratuita instalada pelo WordPress.org. O aviso diz que, nesse caso, o site não foi afetado e nenhuma ação é necessária.
Instalou mas nunca ativou: o aviso diz que o malware podia comprometer o site se o plugin fosse ativado. Mesmo assim, o plugin deve ser removido, e a 3.0.124 instalada no lugar.

A Rank Math não divulgou quantos sites foram afetados nem como o código entrou no pacote.

O que o malware faz

Segundo o aviso, o malware pode:

criar um backdoor oculto (uma porta dos fundos) e recriá-lo a cada visita ao site;
criar contas de administrador falsas;
alterar arquivos do núcleo do WordPress e o .htaccess, para executar arquivos .cache como PHP;
agendar tarefas (cron);
expor segredos do site, como credenciais de banco de dados e chaves de API.

Como checar o seu site

Primeiro, responda: você baixou ou atualizou o Rank Math PRO nessa janela? Se não, o risco descrito pelo aviso não se aplica. Se sim, procure estes sinais, listados pela Rank Math:

Usuários administradores com nome iniciado em wpsupport_ e e-mails terminados em @wp-mail.net.
O arquivo wp-includes/class-wp-cache-util.php, que não faz parte do WordPress.
Arquivos .cache com código PHP e regras estranhas no .htaccess.
Tarefas agendadas (cron) desconhecidas.
Conexões do servidor com o domínio rank1cdn.com.
Entradas suspeitas na tabela wp_options do banco de dados.

Se encontrar qualquer um deles, trate o site como comprometido.

O que fazer, na ordem

Restaure um backup anterior a 15/10/2026 às 20h02 UTC, se existir. É o caminho recomendado.
Rode um scanner de segurança e confira a integridade dos arquivos do WordPress.
Troque todas as credenciais: administradores, banco de dados, chaves e salts do wp-config.php, chaves de API, SMTP e acessos de hospedagem, FTP e SSH.
Instale a versão limpa, a 3.0.124, só depois de o site estar limpo.
Bloqueie conexões de saída para rank1cdn.com, se o servidor permitir.

Sem backup? O aviso descreve uma limpeza manual completa, que começa por apagar a pasta rank-math-pro (desativar o plugin não basta), remover as entradas maliciosas no banco e procurar administradores falsos, arquivos alterados e tarefas agendadas. É um trabalho delicado: se o malware recriar o backdoor a cada visita, uma limpeza incompleta deixa o site vulnerável. Se você não tem experiência com isso, vale pedir ajuda.

Cuidados para o futuro

Nenhum site está imune a um fornecedor comprometido, mas dá para reduzir o estrago:

Backups testados e fora do servidor, com restauração de verdade.
Ambiente de testes para atualizar antes de ir para produção, quando possível.
Menos plugins, só os necessários, e de fontes oficiais.
Acompanhar os avisos dos fornecedores dos plugins que você usa.
Contas de administrador enxutas, com autenticação em dois fatores.

Se o seu site já foi invadido, veja também o que fazer quando o site é invadido.

Precisa de ajuda com o seu site?

A Codlinx trabalha com segurança e recuperação de sites WordPress, incluindo limpeza de malware, restauração e proteção contra novos ataques (veja um caso de recuperação). O atendimento é de segunda a sexta, das 8h às 20h, com retorno em até 24 horas úteis. Fale com a gente.

Perguntas frequentes

O que aconteceu com o Rank Math PRO?

Segundo o aviso da Rank Math e a cobertura do SecurityWeek e do BleepingComputer, pacotes da versão 3.0.123 do Rank Math PRO baixados entre 15/10/2026 às 20h02 UTC e 16/10/2026 às 07h12 UTC continham malware. É um ataque à cadeia de suprimentos: o código malicioso veio no próprio arquivo do plugin.

Meu site usa o Rank Math gratuito. Preciso fazer algo?

Segundo a Rank Math, não. O aviso afirma que quem usa a versão gratuita, instalada pelo WordPress.org, não foi afetado e não precisa tomar nenhuma ação. O problema atinge apenas quem baixou o PRO 3.0.123 na janela indicada.

Como sei se meu site foi afetado?

Verifique se você baixou ou atualizou o Rank Math PRO nessa janela e se o plugin foi ativado. Se sim, procure os sinais do aviso: usuários administradores com prefixo wpsupport_ e e-mails terminados em @wp-mail.net, o arquivo wp-includes/class-wp-cache-util.php, arquivos .cache com código PHP, regras estranhas no .htaccess, tarefas agendadas (cron) desconhecidas e conexões com o domínio rank1cdn.com.

Basta desativar ou atualizar o plugin?

Não. Segundo o aviso e a reportagem, desativar ou atualizar não remove a ameaça, e o malware pode recriar a porta dos fundos a cada visita. Se o site foi afetado, o caminho recomendado é restaurar um backup anterior ao incidente. Sem backup, é preciso uma limpeza manual completa, a começar por apagar a pasta do plugin.

O que trocar depois da limpeza?

O aviso manda presumir que segredos do site podem ter sido expostos. Troque senhas de administradores e do banco de dados, as chaves e salts do wp-config.php, chaves de API, credenciais de SMTP e acessos de hospedagem, FTP e SSH, e revise a autenticação em dois fatores.

Quantos sites foram afetados?

Isso não foi divulgado. A Rank Math fala em um número limitado de usuários, mas não informa a quantidade, e tampouco explicou como o código malicioso entrou no pacote. Este texto reúne informações públicas até 20/10/2026 e será atualizado se a empresa divulgar novos dados.

Como evitar esse tipo de problema no futuro?

Não existe proteção total contra um fornecedor comprometido, mas dá para reduzir o dano: ter backups testados e fora do servidor, um ambiente de testes para atualizar antes de ir para produção, limitar plugins aos necessários, restringir conexões de saída do servidor e acompanhar os avisos dos fornecedores.