Rank Math PRO 3.0.123 Disusupi Backdoor, Segera Ganti

Apakah situs WordPress-mu memakai Rank Math PRO dan sempat diperbarui pertengahan Oktober lalu? Kalau iya, cek sekarang. Salinan Rank Math PRO 3.0.123 yang diunduh atau terpasang lewat pembaruan otomatis antara 15 Oktober 2026 pukul 20.02 UTC dan 16 Oktober 2026 pukul 07.12 UTC berisi backdoor. Penyerang berhasil menembus infrastruktur distribusi Rank Math, jadi file berbahaya itu datang dari jalur resmi, bukan dari situs bajakan.

Rank Math sudah menarik file tersebut dan merilis versi bersih 3.0.124. Masalahnya, memperbarui plugin saja tidak menghapus backdoor yang sudah tertanam. Kalau versi 3.0.123 sempat aktif, situsmu perlu diperlakukan sebagai situs yang sudah dibobol.

Apa yang terjadi pada Rank Math PRO?

Ini serangan rantai pasok (supply chain attack). Penyerang tidak mencari celah di situs korban satu per satu, tetapi menyusupkan kode jahat ke file plugin yang dibagikan vendor. Siapa pun yang mengunduh versi itu pada rentang waktu sekitar 11 jam tersebut ikut menerima backdoor. Konsep serangan seperti ini dibahas lebih lengkap di artikel apa itu supply chain attack.

Beberapa fakta penting per 12 November 2026:

• Versi gratis Rank Math di WordPress.org tidak terdampak. Yang kena hanya Rank Math PRO 3.0.123 dari situs Rank Math.
• Jumlah pengguna terdampak tidak diungkap. Rank Math hanya menyebut "jumlah pengguna yang terbatas".
• Patchstack mencatatnya sebagai CVE-2026-111862 dengan skor 9,8 dan klasifikasi backdoor, terbit 17 Oktober 2026. Patchstack juga menegaskan aturan firewall tidak bisa menangkal masalah ini, karena kodenya memang ada di dalam plugin.
• Akun gratis di rankmath.com yang didaftarkan antara 13 dan 16 Oktober 2026 ikut dihapus saat pembersihan sistem. Pemiliknya perlu mendaftar ulang dan menyambungkan kembali plugin ke akun baru. Pengaturan SEO di situs tetap aman.

Seberapa berbahaya backdoor ini?

Menurut advisori Rank Math, backdoor ini bisa membangun dirinya kembali setiap kali situs dikunjungi. Itulah sebabnya menghapus satu file mencurigakan tidak cukup. Ia menaruh file palsu wp-includes/class-wp-cache-util.php yang terlihat seperti file inti WordPress, padahal bukan, dan berkomunikasi dengan domain rank1cdn.com.

BleepingComputer menemukan sampel PHP terkait di VirusTotal yang memakai indikator yang sama. Sampel itu bisa menjalankan perintah, mengubah database WordPress, dan mencuri kredensial cloud serta kunci SSH. BleepingComputer sendiri menyebut belum bisa memastikan sampel itu disebar lewat plugin. Tetapi Rank Math sudah memperingatkan bahwa kredensial database, kunci API, dan rahasia lain yang bisa dibaca web server harus dianggap bocor.

Langkah mengamankan situs yang terdampak

1. Tentukan statusmu

Buka Plugins di dasbor WordPress, lalu cocokkan dengan tabel berikut.

2. Pilih cara pemulihan

Cara yang disarankan Rank Math adalah restore file dan database dari backup yang dibuat sebelum 15 Oktober 2026 pukul 20.02 UTC (sekitar pukul 03.02 WIB tanggal 16 Oktober). Setelah itu jalankan scan keamanan, ganti semua kredensial, lalu pasang 3.0.124. Di sinilah backup harian dengan riwayat beberapa minggu sangat terasa gunanya.

Kalau tidak punya backup bersih, ikuti pembersihan manual dengan urutan yang benar. Rank Math memperingatkan bahwa menghapus file mencurigakan sebelum mematikan mekanisme pembangun ulangnya bisa sia-sia.

Teknik mencari file PHP sisipan seperti ini dibahas di backdoor PHP di hosting.

3. Cek dengan WP-CLI

Kalau kamu punya akses SSH, perintah berikut membantu memeriksa sisa jejak:

wp user list --role=administrator
wp core verify-checksums
wp cron event list
wp option get _np5pvf754c

wp core verify-checksums akan menandai file yang tidak seharusnya ada di folder inti, termasuk file cache palsu tadi. Untuk plugin premium, pemeriksaan checksum plugin sering tidak tersedia, jadi pasang ulang dari sumber resmi lebih aman.

4. Ganti semua kredensial

Setelah bersih, ganti password semua admin, password database di wp-config.php, security keys dan salts, kunci API (payment gateway, SMTP, cloud), serta akses hosting, FTP, dan SSH. Tinjau juga pengaturan 2FA. Kredensial lama harus dianggap sudah di tangan penyerang.

5. Pasang 3.0.124 dari sumber resmi

Unduh versi bersih dengan masuk langsung ke rankmath.com. Rank Math menegaskan mereka tidak pernah mengirim link login atau unduhan lewat email. Email berisi "patch darurat Rank Math" justru patut dicurigai sebagai phishing yang menunggangi insiden ini.

Terakhir, pantau beberapa hari ke depan: apakah file yang sudah dihapus muncul lagi, dan apakah ada koneksi keluar ke domain asing. Kalau muncul lagi, berarti masih ada pemicu yang tertinggal. Panduan lengkap untuk kasus seperti ini ada di cara membersihkan malware WordPress.

Pelajaran untuk pengelola WordPress

Kasus ini menunjukkan bahwa plugin berbayar dari vendor resmi pun bisa jadi pintu masuk. Insiden serupa juga menimpa pengguna UpdraftCentral pada bulan yang sama, dibahas di kunci UpdraftCentral dicuri. Beberapa kebiasaan yang membantu:

• Simpan backup harian di lokasi terpisah dengan riwayat minimal beberapa minggu, supaya ada titik restore sebelum kejadian.
• Untuk situs penting, uji pembaruan plugin di staging dulu dan jangan langsung menerima pembaruan otomatis di hari rilis.
• Pantau daftar admin dan perubahan file inti secara berkala.
• Batasi koneksi keluar dari server web bila memungkinkan, supaya backdoor sulit "menelepon pulang".