Rank Math PROの配布ファイルにマルウェア―更新だけでは復旧できない場合も

WordPress用SEOプラグイン「Rank Math PRO」の一部配布ファイルに、マルウェアが含まれていたことが分かりました。提供元が対象と復旧手順を公開し、2026年10月19日にSecurityWeekなどが報じました。公式告知の公開日時は確認できていません。

対象は日本時間10月16日5時2分〜16時12分にダウンロード・更新されたバージョン3.0.123です。WordPress.orgで配布する無料版は対象外とされています。有料版の全利用者が被害を受けたという意味ではありません。

提供元は、対象ファイルを有効化したサイトを侵害済みとして扱うよう求めています。サイトへのアクセスを契機にバックドアが再生成されるため、プラグインの無効化や一部ファイルの削除だけでは解消しない場合があります。

推奨される復旧は、対象期間より前の正常なファイルとデータベースへの復元、スキャン、パスワード・APIキーなどの交換を行い、クリーンな3.0.124を導入する方法です。有効化していない場合は対象ファイルを削除して再導入し、スキャンするよう案内しています。詳しい順序は公式手順を確認してください。