漏洞速览
- 漏洞编号：
CVE-2026-111862 - 风险评分：
9.8（严重） - 首次披露：2026-10-16
- 最近更新：2026-10-17
- 软件类型：插件
- 软件标识：
seo-by-rank-math-pro - 受影响版本：3.0.123
- 修复版本：3.0.124
- 是否已修复：是
漏洞详情
Rank Math SEO PRO for WordPress 在 2026年10月15日20:02 UTC 至 10月16日07:12 UTC 期间下载或更新的 3.0.123 版本部分安装包中遭遇了供应链攻击。 Rank Math 方面表示，受影响的插件文件中包含恶意代码，一旦插件被激活即可对网站造成危害，并建议已激活受影响版本的所有站点将网站视为已被入侵处理。 该恶意软件可建立持久访问权限、与 rank1cdn[.]com 通信、在用户访问页面时重新创建隐藏后门，并窃取 WordPress 凭据、数据库凭据、API 密钥及 Web 服务器可访问的其他敏感信息。
Rank Math 已识别出三组恶意的 wp_options 键、隐藏的 PHP 后门、未授权的管理员账户、伪造的 WordPress 核心文件、可执行 PHP 的 .cache 文件以及系统 cron 标记作为事件特征。 仅在供应商确认的时间窗口内获取的安装包被认定存在风险，仅凭版本号 3.0.123 无法判断是否被入侵。 Rank Math 已清除受影响的文件并发布 3.0.124 作为清洁版本供用户升级。
影响与风险
- 风险说明：该漏洞可能导致未授权操作，请结合官方公告评估影响。
修复建议
- 按官方建议执行修复：更新至 3.0.124 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
