Rank Math PRO, l’une des extensions SEO les plus utilisées sur WordPress, a été victime d’une attaque de la chaîne d’approvisionnement. Selon SecurityWeek, des pirates ont glissé un logiciel malveillant dans la version 3.0.123 de l’extension, distribuée aux utilisateurs pendant près de onze heures.
La menace est sérieuse : la faille, référencée CVE-2026-111862, a reçu une note de 9,8 sur 10, le niveau critique. Le code malveillant peut permettre à un attaquant de prendre le contrôle complet du site.
Rank Math a retiré les fichiers piégés et publié une version saine, la 3.0.124. Mais la mise à jour seule ne suffit pas : un site qui a activé la version compromise doit être considéré comme piraté.
Rank Math PRO 3.0.123 : qui est concerné ?
Seuls les sites ayant téléchargé ou mis à jour Rank Math PRO entre le 15 octobre à 22 h 02 et le 16 octobre à 9 h 12, heure de Paris, peuvent avoir reçu la version piégée. Les mises à jour automatiques effectuées pendant cette fenêtre sont concernées.
La première vérification consiste donc à regarder la version installée dans l’onglet Extensions de WordPress. Si Rank Math PRO affiche la version 3.0.123, le site est potentiellement compromis. Une version 3.0.124 n’exclut pas une infection si la 3.0.123 a été activée entre-temps : il faut alors consulter l’historique des mises à jour ou les journaux de l’hébergeur.
Les sources publiées à ce stade ne mentionnent que Rank Math PRO. La version gratuite de l’extension n’est pas citée parmi les paquets compromis.
Ce que fait le logiciel malveillant
Le code malveillant est conçu pour résister à un nettoyage manuel. Selon Rank Math, il recrée une porte dérobée à chaque chargement de page. Il peut aussi créer de faux fichiers imitant le cœur de WordPress, modifier le fichier .htaccess pour faire exécuter des fichiers .cache comme du code PHP, et altérer d’autres extensions et thèmes.
Il ne se limite pas à WordPress. Le malware peut programmer des tâches automatiques (cron), ajouter des clés SSH et lancer des processus sur le serveur. Rank Math prévient que tous les secrets accessibles au serveur web, comme les mots de passe de base de données ou les clés d’API, doivent être considérés comme volés.
Comment nettoyer un site WordPress touché ?
La solution recommandée par Rank Math est la plus simple : restaurer le site à partir d’une sauvegarde antérieure au 15 octobre, puis installer directement la version 3.0.124. C’est la seule méthode qui garantit l’élimination de toutes les modifications.
Sans sauvegarde exploitable, le nettoyage doit être mené avec méthode. Il faut supprimer le dossier de l’extension, retirer l’entrée malveillante ajoutée en base de données, bloquer le domaine rank1cdn[.]com utilisé par le malware, puis rechercher et effacer les fichiers PHP suspects. Les comptes administrateurs inconnus doivent également être supprimés.
Le contrôle doit aussi porter sur le serveur lui-même : clés SSH autorisées, tâches cron de tous les utilisateurs et processus inhabituels. Sur un hébergement mutualisé, mieux vaut solliciter l’hébergeur, qui dispose d’outils d’analyse plus complets.
Changer tous les mots de passe
Une fois le site propre, il faut renouveler l’ensemble des secrets : mots de passe des comptes WordPress, de la base de données, du FTP et de l’hébergement, mais aussi les clés d’API des services connectés et les clés de sécurité de WordPress dans le fichier wp-config.php.
Un scanner de sécurité comme Wordfence permet ensuite de vérifier qu’aucun fichier modifié ne subsiste. Il est aussi conseillé de surveiller le site pendant plusieurs jours, la persistance du malware pouvant laisser des traces discrètes.
Cette attaque rappelle qu’une extension réputée n’est pas à l’abri d’une compromission en amont. Reste à savoir comment les pirates ont pu modifier les paquets de Rank Math, un point que l’éditeur n’a pas encore détaillé.
