Se o seu site em WordPress usa o Rank Math na versão PRO, pare um minuto e confira uma data. Entre 15 e 16 de outubro de 2026, a atualização 3.0.123 do plugin foi distribuída com código malicioso embutido. Em 19 de outubro, o caso ganhou registro oficial como CVE-2026-111862, com nota 9,8 de 10 na escala de gravidade, o nível crítico.
O detalhe que mais pesa: quem instalou o pacote contaminado não resolve o problema só atualizando o plugin. A própria Rank Math orienta tratar o site como invadido.
O que aconteceu
Segundo o comunicado da Rank Math, só ficaram contaminados os pacotes da versão PRO 3.0.123 baixados ou atualizados entre 17h02 de 15/10 e 4h12 de 16/10, no horário de Brasília (20h02 e 7h12 UTC). Ter a versão 3.0.123 instalada não basta para dizer que o site foi afetado: o que conta é ter baixado nessa janela.
A versão gratuita, distribuída pelo WordPress.org, não recebeu o código malicioso. A versão limpa é a 3.0.124.
O registro do CVE, feito pela Wordfence, descreve o que o código fazia:
- criava acesso persistente ao site;
- se comunicava com o domínio rank1cdn[.]com;
- recriava portas dos fundos escondidas quando alguém visitava o site;
- expunha credenciais do WordPress e do banco de dados, chaves de API e outros segredos que o servidor consegue ler.
Atualizar não limpa o site
É aqui que muita gente erra. Desativar o plugin ou instalar a 3.0.124 tira o arquivo contaminado, mas não remove o que ele já deixou no site: usuários administradores falsos, arquivos escondidos e senhas que podem ter sido copiadas.
Por isso a recomendação oficial vai além da atualização. Quem instalou e ativou a 3.0.123 dentro da janela deve partir do princípio de que o site foi comprometido. Quem só baixou o arquivo, sem instalar nem ativar, não tem indicação de problema.
Como saber se o seu site foi afetado
A Rank Math publicou os sinais que denunciam a contaminação. Peça para quem cuida do seu site procurar:
- as opções `_uf6qdn2hmm`, `t8krdk990phb` e `_np5pvf754c` na tabela `wp_options` do banco de dados;
- um arquivo falso chamado `wp-includes/class-wp-cache-util.php`;
- administradores com usuário começando em `wpsupport_` ou e-mail terminando em `@wp-mail[.]net`;
- regras no `.htaccess` que fazem arquivos `.cache` rodarem como PHP;
- uma tarefa agendada no servidor (crontab) marcada com `#ms6v46`.
O que fazer agora
- Confira a versão e a data. Veja se o Rank Math PRO instalado é o 3.0.123 e quando foi atualizado. Se foi depois de 17h02 de 15/10, siga os próximos passos.
- Restaure um backup anterior a 15/10 às 17h02 (horário de Brasília). É o caminho mais seguro, segundo a Rank Math. Sem backup, a limpeza manual começa por apagar a pasta `rank-math-pro`, remover as três opções da `wp_options` e bloquear o domínio rank1cdn.com.
- Troque todas as credenciais. Senhas dos administradores, senha do banco de dados, chaves e salts do `wp-config.php`, chaves de API, SMTP, FTP ou SFTP, SSH e o painel da hospedagem. Se a senha de um desses acessos se repete em outro serviço, troque lá também.
- Revise a autenticação em dois fatores de todos os administradores e apague usuários que você não reconhece.
- Instale a 3.0.124 baixando direto do rankmath.com. Nunca por link recebido por e-mail: golpistas costumam aproveitar incidentes assim para mandar "atualizações urgentes" falsas.
A lição para quem tem site
O ataque não veio de um plugin pirata nem de um link suspeito. Veio de uma atualização baixada do lugar certo, como manda o manual. Plugin desatualizado continua sendo uma porta de entrada comum, então a saída passa longe de parar de atualizar. O que muda o desfecho é ter como voltar atrás.
Num caso como este, fazem diferença: backup automático guardado fora do servidor, poucos administradores com senha única e dois fatores, e alguém que acompanha os avisos de segurança dos plugins que o site usa. Para guardar e trocar senhas com rapidez, um gerenciador de senhas ajuda; o OneckPass é uma opção.
Na Oneck Creative, a frente de Software & Sistemas desenvolve e mantém sites com backup, atualização acompanhada e revisão de acessos. Se você não sabe qual versão do Rank Math está no seu site, ou quer ajuda para conferir os sinais acima, fale com a gente pelo WhatsApp ou conheça a Software & Sistemas da Oneck Creative.
Fontes: Rank Math: PRO 3.0.123 security incident; Registro do CVE-2026-111862 (MITRE); BleepingComputer: WordPress SEO plugin Rank Math compromised to backdoor websites (19/10/2026).
