Malware Rank Math PRO : comment vérifier l'état de vos sites et les restaurer

Les 15 et 16 octobre 2026, certaines versions officielles de Rank Math PRO 3.0.123 contenaient des logiciels malveillants. Si les sites de vos clients utilisent Rank Math PRO, voici comment identifier les sites concernés, comment les nettoyer et en quoi WP Umbrella peut vous aider.

Explications sur l'incident lié à Rank Math PRO 3.0.123

Le 15 octobre 2026, des pirates ont injecté un logiciel malveillant dans certaines copies de Rank Math PRO 3.0.123. Ces copies ont été introduites sur des sites via les téléchargements effectués sur rankmath.com et les mises à jour habituelles du plugin. Un site pouvait donc installer ce logiciel malveillant simplement en mettant à jour le plugin comme d'habitude.

Rank Math a identifié le problème le lendemain matin, a supprimé les fichiers corrompus et a publié une version corrigée, la 3.0.124.

En heure locale, la période concernée s'étendait de 22 h 02 à 9 h 12 à Paris, et de 16 h 02 à 3 h 12 à New York.

Le logiciel malveillant a installé une porte dérobée : un accès caché aux sites infectés qui permet à un pirate de s'y reconnecter sans mot de passe. Selon Rank Math, il peut également :

• Se réinstaller automatiquement après avoir été supprimé
• Cacher ses propres copies dans d'autres plugins et thèmes
• Créer de nouveaux utilisateurs administrateurs
• Ajoutez un faux fichier qui semble faire partie de WordPress
• Modifier les paramètres du serveur et ajouter des tâches qui s'exécutent automatiquement.

Le logiciel malveillant peut également accéder aux données sensibles du site : mots de passe, identifiants de connexion à la base de données et clés API (codes permettant de connecter le site à des services tels que les paiements ou la messagerie électronique). C'est pourquoi il est recommandé de tous les modifier.

Ces astuces rendent sa suppression difficile. Il ne suffit pas de désinstaller le plugin Rank Math PRO, car le logiciel malveillant pourrait déjà s'être propagé à d'autres endroits du site.

Comment restaurer un site piraté, étape par étape

Avant de commencer, dressez la liste de tous les sites utilisant Rank Math PRO 3.0.123, puis vérifiez si certains d'entre eux ont reçu une mise à jour les 15 et 16 octobre 2026, pendant que l'attaque de sécurité était en cours.

Une fois que vous avez identifié les sites nécessitant une restauration, vérifiez si vous disposez d'une sauvegarde intacte datant d'avant la période de l'incident.

Piste A : Vous disposez d'une sauvegarde antérieure à la période de l'incident

C'est l'option la plus rapide et la plus sûre.

1. Restaurez les fichiers et la base de données du site à partir d'une sauvegarde effectuée avant le 15 octobre à 20 h 02 UTC.
2. Analysez le site à la recherche de logiciels malveillants.
3. Modifiez tous les mots de passe et toutes les clés figurant dans la liste ci-dessous.
4. Installez la version 3.0.124, téléchargée depuis votre compte Rank Math.

Piste B : Vous ne disposez pas d'une sauvegarde valide

Suivez ces étapes dans l'ordre. Si vous en sautez certaines, le logiciel malveillant risque de se réinstaller.

Étape 1 : Empêcher le retour du logiciel malveillant.

• Supprimez l'intégralité du dossier du plugin « rank-math-pro ». Il ne suffit pas de désactiver le plugin.
• Supprimez trois lignes de la table de base de données wp_options : _uf6qdn2hmm, t8krdk990phb et _np5pvf754c.
• Demandez à votre hébergeur d'empêcher le site de se connecter à rank1cdn[.]com.

Étape 2 : Repérer et supprimer les traces laissées par le pirate.

Recherchez	Où
Les utilisateurs administrateurs dont le nom commence par « wpsupport_ » suivi de lettres aléatoires, ou dont l'adresse e-mail se termine par @wp-mail[.]net	Utilisateurs, dans le tableau de bord WordPress
Un fichier nommé class-wp-cache-util.php (c'est un faux, WordPress ne dispose pas de ce fichier)	dossier wp-includes
Fichiers PHP que vous ne reconnaissez pas	mu-plugins, les fichiers téléchargés, les autres dossiers de plugins et les dossiers de thèmes nommés « inc », « includes » ou « lib »
Règles permettant aux fichiers .cache de s'exécuter comme du code	Fichier .htaccess
Tâches planifiées que vous n'avez pas créées, dont une portant le tag #ms6v46	Les tâches planifiées de WordPress et le fichier crontab du serveur
Clés SSH que vous ne reconnaissez pas	Paramètres SSH du serveur

Étape 3 : Vérifiez que le site est propre.

• Effectuez une nouvelle analyse du site.
• Vérifiez que les fichiers du cœur de WordPress sont d'origine.
• Surveillez si les fichiers supprimés réapparaissent. Si c'est le cas, le logiciel malveillant est toujours actif.

Pour les deux chemins : modifiez tous les mots de passe et toutes les clés

La sauvegarde supprime le logiciel malveillant, mais elle ne peut pas effacer ce que le pirate a déjà vu. Dès que possible, modifiez tous les mots de passe et toutes les clés liés au site.

• Tous les mots de passe des utilisateurs de WordPress
• Le mot de passe de la base de données
• Les clés de sécurité et les sels contenus dans le fichier wp-config.php (codes aléatoires utilisés par WordPress pour sécuriser les connexions)
• Clés API pour les paiements, la messagerie électronique et d'autres services
• Hébergement, connexions FTP, SFTP et SSH
• Authentification à deux facteurs pour les comptes administrateurs, le cas échéant

Pourquoi un pare-feu ne peut pas bloquer ce logiciel malveillant

Patchstack classe cette faille comme une porte dérobée hautement prioritaire, avec un score de gravité de 9,8 sur 10 (CVE-2026-111862). Le site précise également qu'aucun correctif virtuel n'est possible dans ce cas.

Un correctif virtuel est une règle de pare-feu qui empêche les pirates d'exploiter une vulnérabilité connue dans un plugin, jusqu'à ce que vous installiez le correctif fourni par le développeur. C'est la technologie qui sous-tend le pare-feu du module complémentaire de sécurité de WP Umbrella.

Cette fois-ci, le logiciel malveillant n'a pas exploité de faille de sécurité. Il se trouvait déjà dans les fichiers de Rank Math PRO lorsqu'ils ont été téléchargés sur le site ; le pare-feu n'avait donc rien à bloquer.

Qu'est-ce qui protège votre portefeuille contre des incidents de ce type ?

Les attaques consistant à dissimuler des logiciels malveillants dans une véritable mise à jour de plugin sont devenues plus fréquentes en 2026. Rank Math PRO est le troisième cas de ce type cette année. Auparavant, un incident de sécurité similaire avait touché Smart Slider 3 Pro et ShapedPlugin Pro. À chaque fois, l'entreprise a rapidement publié une version corrigée.

Vous ne pouvez pas empêcher les pirates de s'en prendre à un plugin auquel vous faites confiance, mais certaines mesures vous aident à détecter un problème à un stade précoce et à vous en remettre sans stress.

1. Conservez des sauvegardes auxquelles vous pourrez revenir

Les incidents de sécurité montrent à quel point une sauvegarde intacte est précieuse. WP Umbrella sauvegarde automatiquement vos sites, selon la fréquence que vous choisissez. Lorsque vous avez besoin d'une sauvegarde, vous pouvez la restaurer depuis votre tableau de bord en un seul clic, que ce soit l'intégralité du site ou uniquement les fichiers ou la base de données dont vous avez besoin.

2. Consultez tous les plugins et leurs versions en un seul endroit

Si vous gérez un vaste portefeuille de sites clients, lorsqu’un plugin présente un problème de sécurité, la première question qui se pose est : « Lesquels de mes sites l’utilisent ? » Si vous devez vous connecter à chaque site pour vérifier, cela vous prendra des heures.

WP Umbrella affiche les plugins et leurs versions sur tous vos sites depuis un seul tableau de bord. Vous pouvez filtrer et trier votre portefeuille pour bénéficier d'une vue d'ensemble claire et réagir rapidement. De plus, grâce au connecteur MCP, il vous suffit de demander à votre assistant IA quels sites sont concernés pour obtenir une réponse en langage clair.

3. Installez rapidement les mises à jour de sécurité

Les pirates commencent souvent à exploiter une nouvelle faille de sécurité en l'espace de quelques heures ; c'est pourquoi les correctifs de sécurité doivent être installés dès qu'ils sont disponibles. Les mises à jour qui ne font qu'ajouter des fonctionnalités peuvent généralement attendre un jour ou deux.

WP UmbrellaLes mises à jour de sécurité prioritaires installent les correctifs de sécurité dès leur publication, tandis que vos autres mises à jour suivent votre calendrier habituel.

4. Soyez attentif aux signes d'une attaque

Les logiciels malveillants sont conçus pour rester cachés ; il est donc difficile de les repérer simplement en consultant un site. Deux outils peuvent s'avérer très utiles : un scanner de logiciels malveillants et un journal d'activité.

• Un scanner de logiciels malveillants analyse un site à la recherche de code malveillant. Le scanner de WP Umbrellas'exécute quotidiennement sur nos serveurs ; il ne ralentit donc pas vos sites et vous alerte dès qu'il détecte un élément nécessitant votre attention.
• Un journal d'activité consigne tout ce qui se passe sur le site et vous alerte en cas de modifications inhabituelles. Le journal d'activité de sécurité de WP Umbrellasignale des indices tels que la création de nouveaux comptes administrateur ou de comptes cachés, des modifications apportées aux fichiers du cœur du site et des modifications du fichier .htaccess. Il s'agit là du même type de modifications que celles effectuées par le logiciel malveillant Rank Math PRO.

Ces deux outils sont fournis avec le module complémentaire de sécurité, que vous pouvez activer pour les sites où une attaque aurait les conséquences les plus graves pour votre client.

5. Renforcer la sécurité de chaque site dès le premier jour

De nombreuses attaques visant la sécurité de WordPress exploitent les mêmes failles, comme un éditeur de fichiers accessible à tous ou des comptes administrateur dépourvus d'authentification à deux facteurs. En comblant ces failles, on complique la tâche des pirates qui cherchent à s'introduire dans le système ou à y rester.

WP Umbrella Les contrôles de sécurisation sont inclus dans chaque site sans frais supplémentaires. Activez-les un par un d’un simple clic pour fermer les portes que les pirates tentent généralement d’attaquer en premier.

6. Limitez le nombre de vos plugins

Chaque plugin représente une mise à jour supplémentaire à laquelle vous devez faire confiance. Supprimez les plugins dont un site n'a plus besoin, y compris ceux qui sont inactifs, car leurs fichiers restent sur le serveur.

WP UmbrellaLes bilans de santé des sites permettent de repérer les plugins et les thèmes inactifs, ce qui vous permet de savoir ce qu’il faut supprimer sur chaque site.

7. Rédigez dès maintenant un plan d'intervention.

Déterminez qui est chargé de vérifier les sites, qui contacte les clients et à quel moment il faut faire appel à des experts. La section 2.0 de notre « Guide complet de sécurité WordPress » gratuit comprend un plan d'intervention en cas d'incident, étape par étape, que vous pouvez adapter à votre propre organisation du travail.

Et si le nettoyage dépasse les capacités de votre équipe, WP Umbrella est là pour vous aider grâce à deux services à la demande :

• Audit de sécurité (30 € par site) : notre équipe examine votre site en détail. Vous recevez un rapport clair indiquant ce qui s'est passé et les mesures à prendre en priorité.
• Nettoyage de logiciels malveillants pris en charge (180 €) : notre équipe s'occupe de tout. Nous supprimons les logiciels malveillants, comblons les failles de sécurité, réinstallons des versions propres de WordPress et de vos plugins, puis renforçons la sécurité du site.

Réflexions finales

L'incident concernant Rank Math PRO nous rappelle que même les plugins populaires proposés par des entreprises réputées peuvent être la cible d'une attaque de sécurité. Rank Math a réagi rapidement et a publié des consignes claires. Pourtant, pendant quelques heures, une simple mise à jour de routine a suffi à mettre des sites en danger, alors même que leurs propriétaires n'avaient commis aucune faute.

Pour les agences WordPress, la leçon à retenir est de se préparer au jour où un incident se produira. Lorsque vous disposez déjà de sauvegardes fiables, d’une vue d’ensemble claire de tous les plugins installés sur vos sites et d’outils qui vous alertent en cas de modifications inhabituelles, un incident de ce type ne représente plus que quelques minutes ou quelques heures de travail ciblé, au lieu d’une crise susceptible de vous faire perdre un client.