Les téléchargements de Rank Math PRO piégés par une attaque sur la chaîne d'approvisionnement WordPress

Le 16 octobre 2026, Rank Math — l'éditeur basé en Inde d'un plugin SEO pour WordPress dont l'édition gratuite est active sur plus de 4 millions de sites — a confirmé que des attaquants avaient altéré les téléchargements de son plugin payant Rank Math PRO, version 3.0.123, sur le site officiel de l'entreprise. Les copies obtenues durant une fenêtre de 11 heures, du 15 octobre à 20h02 UTC au 16 octobre à 07h12 UTC, contenaient un logiciel malveillant implantant des portes dérobées dès l'activation du plugin. Seule la version PRO distribuée depuis le site de l'éditeur était concernée ; la version gratuite hébergée sur WordPress.org ne l'était pas.

Rank Math a décrit un impact touchant plusieurs centaines de clients et a indiqué que le vecteur d'attaque initial n'avait pas été déterminé. L'entreprise a retiré les fichiers concernés, publié un avis de sécurité et diffusé une version saine, Rank Math PRO v3.0.124 ; Wordfence a publié son propre avis pour alerter les propriétaires de sites.

Ce que fait la porte dérobée

Selon Rank Math, le code implanté établit un accès persistant, communique avec le domaine rank1cdn[.]com et recrée des portes dérobées masquées chaque fois qu'un visiteur consulte un site infecté — exposant identifiants de base de données, clés d'API et autres secrets accessibles au serveur web. Les chercheurs ont signalé des indicateurs tels que des connexions sortantes vers ce domaine et des comptes administrateurs inattendus dont le nom commence par wpsupport_. Point crucial, se contenter de mettre à jour ou de désactiver le plugin ne supprime pas la menace : l'éditeur et Wordfence ont recommandé de considérer comme compromis tout site ayant activé la v3.0.123 durant la fenêtre, de restaurer fichiers et bases de données à partir d'une sauvegarde saine antérieure à l'incident, de supprimer le dossier du plugin et de renouveler l'ensemble des mots de passe, clés et « salts ».

Pourquoi c'est important

Les compromissions de la chaîne d'approvisionnement d'extensions WordPress populaires transforment une seule intrusion chez un éditeur en un événement d'exploitation de masse, puisque le code malveillant arrive par le canal de confiance de mise à jour et de téléchargement sur lequel les propriétaires de sites sont invités à s'appuyer. Avec une porte dérobée capable de se régénérer et d'aspirer des secrets cloud et serveur, l'incident Rank Math a offert aux attaquants un point d'ancrage potentiel sur chaque site ayant installé la version piégée — un rappel que les plugins qui étendent un CMS font tout autant partie de sa surface d'attaque que le logiciel principal.