Rank Math PRO foi distribuído com backdoor: veja como proteger seu site WordPress
Uma versão comprometida do Rank Math PRO, plugin pago de SEO para WordPress, foi disponibilizada nos dias 15 e 16 de outubro. Segundo os desenvolvedores, o código malicioso foi incluído tanto no pacote oferecido para download no site oficial quanto em uma atualização destinada a instalações existentes.
O Rank Math PRO é usado para otimizar páginas e conteúdos, ajudando sites a melhorar sua visibilidade em mecanismos de busca. Como o plugin contaminado podia ser instalado ou atualizado diretamente, administradores que realizaram uma dessas operações no período indicado devem tratar o ambiente como potencialmente invadido – mesmo que não tenham percebido alterações ou falhas no funcionamento do site.
A recomendação é restaurar o WordPress a partir de um backup confiável, criado antes da instalação ou atualização suspeita. Também é necessário substituir senhas e credenciais associadas ao site, incluindo acessos ao painel administrativo, à hospedagem, ao banco de dados e a serviços conectados. Os desenvolvedores não informaram como os invasores conseguiram inserir o backdoor no plugin.
A edição gratuita Rank Math SEO, mantida pela mesma equipe, não foi afetada pelo incidente, conforme o comunicado dos responsáveis. Ainda assim, sites que utilizam a versão PRO devem verificar o histórico de atualizações e downloads para confirmar se receberam o pacote durante os dois dias mencionados.
Como agir se o Rank Math PRO foi instalado no período
A primeira medida é identificar a versão instalada e a data em que o plugin foi baixado ou atualizado. Consulte os registros do WordPress, o painel da hospedagem ou os logs de implantação, caso estejam disponíveis. Se não for possível confirmar que o site permaneceu fora do período de risco, é mais seguro agir como se a instalação pudesse estar comprometida.
Em seguida, mantenha o site isolado de atividades administrativas sensíveis enquanto a investigação estiver em andamento. Isso não significa necessariamente desligá-lo, mas é prudente evitar alterações importantes, como cadastrar novos usuários, realizar operações financeiras ou inserir credenciais de serviços externos até que a integridade do ambiente seja verificada.
A restauração deve partir de uma cópia conhecida como limpa, anterior à instalação da versão contaminada. Depois de recuperar os arquivos e o banco de dados, aplique as atualizações de segurança disponíveis e instale novamente o plugin apenas quando houver confirmação de que o pacote utilizado é legítimo e seguro. Não basta remover e reinstalar o mesmo arquivo suspeito: isso pode deixar o backdoor ativo ou permitir que ele volte ao sistema.
Verificações importantes após a recuperação
Além de trocar as senhas, encerre sessões ativas e revise as contas de usuário do WordPress. Procure administradores desconhecidos, alterações inesperadas em permissões e usuários criados recentemente sem autorização. Credenciais reutilizadas em outros serviços também devem ser substituídas, pois uma senha exposta pode abrir caminho para acessos além do próprio site.
Examine arquivos e configurações do WordPress em busca de modificações que não façam parte da instalação normal. Também vale verificar tarefas agendadas, plugins, temas e extensões que tenham sido adicionados sem aprovação. O backdoor pode não estar limitado ao arquivo principal do plugin: um invasor que obteve acesso pode ter criado outros meios de permanecer no ambiente.
Acompanhe os registros do servidor em busca de conexões ou atividades administrativas incomuns, sobretudo no período posterior à instalação da versão afetada. Se houver sinais de alteração indevida, como redirecionamentos, páginas desconhecidas, contas suspeitas ou envio anormal de mensagens, a limpeza deve ser feita com cuidado para não eliminar evidências úteis à análise do incidente.
Para reduzir riscos futuros, mantenha backups frequentes e teste a restauração antes de depender dela em uma emergência. Restrinja o número de contas com privilégios administrativos, use autenticação multifator quando disponível e instale apenas plugins obtidos de fontes confiáveis. Acompanhar comunicados dos fornecedores também ajuda a identificar rapidamente atualizações comprometidas.
A ocorrência reforça que até uma atualização distribuída por um canal oficial pode representar risco quando a cadeia de fornecimento de software é atingida. Por isso, a resposta não deve se limitar à troca do plugin: é essencial verificar o site como um todo, substituir credenciais expostas e confirmar que o ambiente restaurado está livre de alterações maliciosas.