Plugin SEO WordPress Rank Math PRO Disusupi Malware untuk Tanam Backdoor di Situs Web

Sejumlah berkas unduhan plugin WordPress populer, Rank Math PRO, yang diunduh langsung dari situs web resmi vendor pada pekan lalu dilaporkan telah disusupi malware yang menanamkan backdoor tersembunyi melalui serangan rantai pasokan (supply-chain attack).

Berdasarkan keterangan resmi pihak pengembang, sebagian pengguna yang mengunduh plugin versi 3.0.123 dalam rentang waktu antara 15 Oktober 2026 pukul 20:02 UTC hingga 16 Oktober 2026 pukul 07:12 UTC menerima versi yang telah terkompromi. Berkas plugin berbahaya tersebut dapat langsung menginfeksi situs web begitu diaktifkan oleh administrator.

“Berkas plugin yang terdampak mengandung malware yang dapat mengompromikan situs web Anda apabila plugin tersebut diaktifkan. Kami telah segera menghapus berkas yang terdampak dan merilis versi bersih, yakni Rank Math PRO v3.0.124,” tulis pihak Rank Math dalam peringatan keamanannya.

Para pengguna yang telanjur menginstal dan mengaktifkan versi berwujud Trojan tersebut selama jendela waktu 11 jam itu diimbau untuk menganggap situs web mereka telah terkompromi sepenuhnya serta segera menjalankan prosedur pembersihan sesuai panduan vendor. Sebagai informasi, Rank Math PRO merupakan versi berbayar dari plugin optimasi mesin pencari (Search Engine Optimization / SEO) Rank Math yang versi gratisnya tercatat aktif digunakan pada lebih dari 4 juta situs web WordPress.

Eksposur Data Sensitif dan Indikator Kompromi (IoC)

Dalam buletin keamanannya, pengembang menegaskan bahwa insiden ini hanya berdampak pada varian Rank Math PRO, sementara versi gratis Rank Math SEO yang didistribusikan melalui repositori resmi WordPress.org dipastikan aman dan tidak terdampak.

Malware yang disisipkan ke dalam plugin tersebut dirancang untuk membangun akses persisten (persistent access), berkomunikasi dengan domain eksternal rank1cdn[.]com, serta membuat ulang backdoor tersembunyi setiap kali ada pengunjung yang mengakses situs web yang terinfeksi. Lebih parah lagi, instalasi versi berbahaya ini berisiko mengekspos kredensial basis data (database), kunci API (API keys), serta berbagai data rahasia lain yang dapat diakses oleh web server.

Dalam penelusuran terpisah, BleepingComputer menemukan sampel malware berbasis PHP di platform VirusTotal bernama cache-preloader-fff033 (1).php yang diduga kuat berkaitan erat dengan insiden peretasan Rank Math. Meskipun nama berkas tersebut tidak tercantum secara spesifik dalam buletin Rank Math maupun Wordfence, di dalamnya ditemukan sejumlah indikator kompromi (Indicators of Compromise / IoC) yang identik dengan peringatan resmi Rank Math, meliputi:

• Kunci obfuskasi XOR xmmqhn
• Entri basis data WordPress bernama _np5pvf754c
• Penanda tugas terjadwal (cron job marker) #ms6v46
• Baris kode untuk membuat akun administrator siluman secara otomatis menggunakan awalan nama pengguna wpsupport_ dan alamat surel berakhiran @wp-mail.net

Skrip PHP berbahaya ini tampak beroperasi sebagai skrip penyebaran tahap pertama (first-stage deployment script) yang bertugas menciptakan berkas backdoor wp-includes/class-wp-cache-util.php sebagaimana disebutkan dalam buletin Rank Math. Selain memodifikasi database WordPress dan mengeksekusi perintah jarak jauh, skrip tersebut juga memiliki kapabilitas untuk mencuri kredensial layanan cloud seperti AWS, Cloudflare, Google Cloud, dan Azure, serta kunci SSH dan informasi sensitif lainnya.

Rekomendasi Pembersihan dan Langkah Mitigasi

Bagi para administrator situs web yang menduga sistemnya telah terinfeksi, langkah paling aman yang sangat disarankan adalah memulihkan (restore) seluruh berkas situs dan basis data menggunakan cadangan (backup) bersih yang dibuat sebelum tanggal 15 Oktober, menjalankan pemindaian keamanan menyeluruh, serta merotasi seluruh kata sandi, kunci API, dan salts WordPress.

Apabila tidak memiliki cadangan yang aman, Rank Math menyarankan prosedur pembersihan manual secara ketat. Perlu dicatat bahwa sekadar menonaktifkan atau memperbarui plugin setelah infeksi terjadi tidak akan menghapus ancaman backdoor yang sudah telanjur tertanam.

Langkah pembersihan manual yang wajib dilakukan meliputi:

1. Menghapus seluruh direktori folder plugin Rank Math PRO dan membersihkan entri database berbahaya (_np5pvf754c).
2. Memeriksa dan menghapus berkas backdoor tambahan (seperti wp-includes/class-wp-cache-util.php), akun administrator tidak sah dengan awalan wpsupport_, berkas inti yang telah dimodifikasi, serta cron job mencurigakan (#ms6v46).
3. Memblokir seluruh koneksi keluar (outbound connections) dari server menuju domain milik penyerang di rank1cdn[.]com.

Sementara itu, bagi pengguna yang sempat mengunduh dan memasang versi 3.0.123 namun belum pernah mengaktifkannya, disarankan untuk segera menghapus berkas plugin tersebut, mengunduh versi bersih v3.0.124, lalu melakukan pemindaian keamanan pada situs web mereka.

Sumber: Rank Math Security Advisory