Rank Math PRO 3.0.123の一部配布物にマルウェア、CVE-2026-111862の対象期間と復旧手順

Wordfenceの2026年10月16日付の発表によると、WordPress用SEOプラグイン「Rank Math」の開発元は、有料版「Rank Math PRO 3.0.123」の一部の配布ファイルにマルウェアが含まれていたと公表しました。対象は、日本時間2026年10月16日05:02から16:12までに入手したファイルです。開発元は該当ファイルを除去し、クリーン版の3.0.124を公開しています。

影響するファイルをインストールして有効化した場合、開発元はサイトが侵害されたものとして復旧するよう案内しています。プラグインの更新だけでは対応は終わりません。バックアップからの復元や不正な変更の除去、認証情報の変更が必要です。

対象は特定の時間帯に配布されたPRO版

Rank Mathの公式告知は、バージョンと取得日時の両方を条件に挙げています。WordPress.orgで配布される無料版のRank Math SEOは、本件の対象外です。

Wordfenceが登録したCVEレコードは、2026年10月19日16:35 UTC (日本時間10月20日01:35)に公開されました。これは配布物に不正なコードが混入した事案で、CVSS上は認証不要と評価されています。

CVSSの点数やバージョン番号だけでは入手したファイルが対象かどうかを判断できません。管理画面でのバージョン確認に加え、更新履歴や作業記録で取得日時を調べ、不明な場合は開発元へ問い合わせてください。

クリーン版は、rankmath.comへ直接アクセスして公式アカウントから入手してください。開発元は、ログインやダウンロードのリンクをメールで送ることはないと案内しています。本件に便乗したメールのリンクには注意してください。アカウントにログインできない場合、パスワードの再設定が必要なことがあります。

有効化したかどうかで対応が変わる

公式告知では、対象期間のファイルを入手した後の操作によって、次のように対応を分けています。

• インストールして有効化した場合: 侵害されたものとして復旧手順を進めます。
• インストールしたが一度も有効化していない場合: 対象ファイルを除去し、公式アカウントからクリーン版3.0.124を入れ直して、予防的にセキュリティスキャンを行います。
• ダウンロードしただけで、インストールも有効化もしていない場合: 本件によってサイトが侵害された兆候はないとしています。操作履歴が不明ならサポートへ相談します。

開発元は、サイトへのアクセスがあるたびに隠れたバックドアを再作成する仕組みに注意を促しています。不審なファイルだけを消しても、再作成の仕組みが残っていれば復旧は完了しません。

バックアップからの復元と、手作業での復旧

開発元が推奨するのは、影響期間より前に作成したクリーンなバックアップから、サイトのファイルとデータベースの両方を復元する方法です。その後、セキュリティスキャン、認証情報の変更、クリーン版のインストールを行うよう案内しています。

適切なバックアップがない場合は、公式手順に沿って手作業で復旧します。最初にRank Math PROのフォルダー全体と、公式告知が示す不正なデータベース項目を除去します。プラグインを無効化するだけでは不十分で、rank-math-proフォルダーごと削除する必要があるとされています。可能ならrank1cdn[.]comへの外向き通信も遮断します。

その後、追加のバックドア、見覚えのない管理者アカウント、改変されたファイルや定期実行タスクを確認します。

確認対象には、wp-includes/class-wp-cache-util.phpというWordPressコアには本来存在しないファイルや、wpsupport_で始まる不審な管理者名などが挙げられています。これらは調査の手掛かりで、特定の痕跡が見つからないからといって安全とは限りません。

共有ホスティングでは、WordPressの外側のプロセスやSSH設定まで利用者が調査できない場合もあります。ファイルやデータベースの操作に不慣れな場合は、ホスティング事業者や専門の対応窓口へ依頼してください。運用上は、復旧作業前にアクセスログや現在の状態を保全しておくと、調査と対応履歴の確認に役立ちます。

認証情報の変更と、復旧後の確認も必要

公式告知は、侵害されたサイトからアクセスできる秘密情報は露出した可能性があると想定し、変更するよう求めています。対象はWordPressのパスワードに加え、データベース認証情報、WordPressのセキュリティキーとソルトです。SMTPや決済サービスのAPIキー、ホスティング管理画面やFTP、SFTP、SSHの認証情報も含まれます。環境変数に保存された秘密情報や管理者の二要素認証設定も見直し、必要に応じて再設定します。これらはバックアップから復元した場合も必須とされています。

変更時は、サイト設定や接続先サービスにも新しい認証情報を反映し、動作を確認してください。復旧後もスキャンを行い、不審なファイルが再出現しないか、外向き通信などに異常がないかを監視します。

プラグインの脆弱性を狙う攻撃については、Super FormsやElementor Proを狙う攻撃の記事も参照してください。

参考情報

• Rank Math: PRO 3.0.123のセキュリティ事案と復旧手順
• Wordfence: Rank Math SEO PRO 3.0.123の一部ダウンロードでマルウェアを確認した件
• CVEレコード: CVE-2026-111862 (CNA: Wordfence)

本記事は2026年10月20日時点で確認できた情報に基づきます。