Вредоносный код в платной версии Rank Math PRO

Лента принесла материал о том, что в платной версии популярного WordPress-плагина Rank Math PRO между 15 и 16 октября в обновлении оказался вредоносный код — он мог открыть доступ к сайту, создать админов, оставить бэкдоры и скрытые файлы. Уязвимость была зафиксирована как CVE-2026-111862 с высоким уровнем опасности. Затронуты только те, кто обновлял платную версию напрямую с сайта разработчика, а не через официальный репозиторий. Свежая версия 3.0.124 устраняет угрозу, но не убирает следы уже произошедшего.

Считаю, что это не просто «ошибка» — это тревожный сигнал. Если вредоносный код попал в официальное обновление, значит, уязвимость не в отдельном сайте, а в процессе доставки. Это не «случайно» — это нарушение цепочки доверия. Даже если сайт не был взломан, он мог стать частью атаки на других.

На мой взгляд, главная опасность — не в коде, а в том, что уязвимость не закрывается простым обновлением. Уже скомпрометированные сайты могут не знать об этом, пока не начнётся массовый скан. Поэтому сейчас не просто «обновить», а проверить: нет ли новых админов, не висит ли скрытый файл, не настроены ли подозрительные cron-задачи.

Уже начал проверять у клиентов, кто использует платную версию. У тех, у кого есть чистая резервная копия до 15 октября, — восстановление. У других — ручная проверка, удаление плагина, смена паролей, проверка на вредоносный код. Пока не тороплюсь с обновлением, пока не убедился, что всё чисто.