--- title: "Rank Math PRO 3.0.123 Disusupi Backdoor, Segera Ganti" description: "Rank Math PRO 3.0.123 yang diunduh 15 sampai 16 Oktober 2026 berisi backdoor. Cek apakah situsmu terdampak dan langkah membersihkannya." url: "https://nivelva.com/insight/rank-math-pro-3-0-123-backdoor" category: "Keamanan/Cyber Security" tags: ["wordpress","rank math","backdoor","supply chain attack","cve-2026-111862"] author: "Lucas Tan" published: "2026-11-12T15:27:00+07:00" updated: "2026-11-12T15:27:00+07:00" language: "id" publisher: "Nivelva (https://nivelva.com)" --- # Rank Math PRO 3.0.123 Disusupi Backdoor, Segera Ganti > **Jawaban singkat:** Rank Math PRO 3.0.123 yang diunduh antara 15 Oktober 2026 pukul 20.02 UTC dan 16 Oktober 07.12 UTC berisi backdoor (CVE-2026-111862). Hapus folder plugin, bersihkan sisa backdoor atau restore backup, ganti semua kredensial, lalu pasang versi bersih 3.0.124. Apakah situs WordPress-mu memakai Rank Math PRO dan sempat diperbarui pertengahan Oktober lalu? Kalau iya, cek sekarang. Salinan Rank Math PRO 3.0.123 yang diunduh atau terpasang lewat pembaruan otomatis antara **15 Oktober 2026 pukul 20.02 UTC** dan **16 Oktober 2026 pukul 07.12 UTC** berisi backdoor. Penyerang berhasil menembus infrastruktur distribusi Rank Math, jadi file berbahaya itu datang dari jalur resmi, bukan dari situs bajakan. Rank Math sudah menarik file tersebut dan merilis versi bersih **3.0.124**. Masalahnya, memperbarui plugin saja tidak menghapus backdoor yang sudah tertanam. Kalau versi 3.0.123 sempat aktif, situsmu perlu diperlakukan sebagai situs yang sudah dibobol. | Data | Nilai | |---|---| | ID | CVE-2026-111862 | | Tingkat bahaya | Kritis (CVSS 9.8) | | Produk terdampak | Rank Math SEO PRO | | Versi terdampak | 3.0.123 | | Versi aman | 3.0.124 | | Status | Backdoor di file distribusi resmi | | Diumumkan | 17 Oktober 2026 | | Detail | https://nvd.nist.gov/vuln/detail/CVE-2026-111862 | ## Apa yang terjadi pada Rank Math PRO? Ini serangan rantai pasok (supply chain attack). Penyerang tidak mencari celah di situs korban satu per satu, tetapi menyusupkan kode jahat ke file plugin yang dibagikan vendor. Siapa pun yang mengunduh versi itu pada rentang waktu sekitar 11 jam tersebut ikut menerima backdoor. Konsep serangan seperti ini dibahas lebih lengkap di artikel [apa itu supply chain attack](https://nivelva.com/insight/apa-itu-supply-chain-attack-contoh-kasusnya). Beberapa fakta penting per 12 November 2026: - **Versi gratis Rank Math di WordPress.org tidak terdampak.** Yang kena hanya Rank Math PRO 3.0.123 dari situs Rank Math. - **Jumlah pengguna terdampak tidak diungkap.** Rank Math hanya menyebut "jumlah pengguna yang terbatas". - Patchstack mencatatnya sebagai **CVE-2026-111862** dengan skor **9,8** dan klasifikasi backdoor, terbit 17 Oktober 2026. Patchstack juga menegaskan aturan firewall tidak bisa menangkal masalah ini, karena kodenya memang ada di dalam plugin. - Akun gratis di rankmath.com yang didaftarkan antara 13 dan 16 Oktober 2026 ikut dihapus saat pembersihan sistem. Pemiliknya perlu mendaftar ulang dan menyambungkan kembali plugin ke akun baru. Pengaturan SEO di situs tetap aman. ## Seberapa berbahaya backdoor ini? Menurut advisori Rank Math, backdoor ini bisa **membangun dirinya kembali setiap kali situs dikunjungi**. Itulah sebabnya menghapus satu file mencurigakan tidak cukup. Ia menaruh file palsu `wp-includes/class-wp-cache-util.php` yang terlihat seperti file inti WordPress, padahal bukan, dan berkomunikasi dengan domain `rank1cdn.com`. BleepingComputer menemukan sampel PHP terkait di VirusTotal yang memakai indikator yang sama. Sampel itu bisa menjalankan perintah, mengubah database WordPress, dan mencuri kredensial cloud serta kunci SSH. BleepingComputer sendiri menyebut belum bisa memastikan sampel itu disebar lewat plugin. Tetapi Rank Math sudah memperingatkan bahwa kredensial database, kunci API, dan rahasia lain yang bisa dibaca web server harus dianggap bocor. ## Langkah mengamankan situs yang terdampak ### 1. Tentukan statusmu Buka **Plugins** di dasbor WordPress, lalu cocokkan dengan tabel berikut. | Kondisi | Artinya | Yang perlu dilakukan | |:--|:--|:--| | 3.0.123 terpasang dan aktif di rentang waktu tersebut | Anggap situs sudah dibobol | Restore backup bersih atau bersihkan manual, ganti semua kredensial | | 3.0.123 terpasang tapi tidak pernah diaktifkan | Belum ada tanda kompromi | Hapus file, pasang 3.0.124, scan untuk berjaga-jaga | | Hanya diunduh, tidak dipasang | Tidak ada tanda kompromi dari insiden ini | Hapus file unduhan, pakai 3.0.124 | | Memakai Rank Math gratis dari WordPress.org | Tidak terdampak | Tetap perbarui seperti biasa | ### 2. Pilih cara pemulihan Cara yang disarankan Rank Math adalah **restore file dan database dari backup yang dibuat sebelum 15 Oktober 2026 pukul 20.02 UTC** (sekitar pukul 03.02 WIB tanggal 16 Oktober). Setelah itu jalankan scan keamanan, ganti semua kredensial, lalu pasang 3.0.124. Di sinilah backup harian dengan riwayat beberapa minggu sangat terasa gunanya. Kalau tidak punya backup bersih, ikuti pembersihan manual dengan urutan yang benar. Rank Math memperingatkan bahwa menghapus file mencurigakan sebelum mematikan mekanisme pembangun ulangnya bisa sia-sia. 1. Hapus seluruh folder `wp-content/plugins/rank-math-pro`. Menonaktifkan plugin saja tidak cukup. 2. Hapus entri `wp_options` dengan `option_name` `_uf6qdn2hmm`, `t8krdk990phb`, dan `_np5pvf754c`, lalu blokir koneksi keluar ke `rank1cdn.com` bila bisa. 3. Hapus `wp-includes/class-wp-cache-util.php` dan cari file PHP asing di `mu-plugins`, folder plugin dan tema lain, serta `uploads`. 4. Periksa file `.cache` yang berisi kode PHP dan aturan `.htaccess` yang membuat file `.cache` bisa dieksekusi sebagai PHP. 5. Hapus akun admin dengan username berawalan `wpsupport_` atau email berakhiran `@wp-mail.net`. 6. Cek crontab sistem yang bertanda `#ms6v46`, kunci di `authorized_keys`, dan proses asing di server. Teknik mencari file PHP sisipan seperti ini dibahas di [backdoor PHP di hosting](https://nivelva.com/insight/backdoor-php-hosting-cara-menemukan-menghapusnya). ### 3. Cek dengan WP-CLI Kalau kamu punya akses SSH, perintah berikut membantu memeriksa sisa jejak: ```bash wp user list --role=administrator wp core verify-checksums wp cron event list wp option get _np5pvf754c ``` `wp core verify-checksums` akan menandai file yang tidak seharusnya ada di folder inti, termasuk file cache palsu tadi. Untuk plugin premium, pemeriksaan checksum plugin sering tidak tersedia, jadi pasang ulang dari sumber resmi lebih aman. ### 4. Ganti semua kredensial Setelah bersih, ganti password semua admin, password database di `wp-config.php`, security keys dan salts, kunci API (payment gateway, SMTP, cloud), serta akses hosting, FTP, dan SSH. Tinjau juga pengaturan 2FA. Kredensial lama harus dianggap sudah di tangan penyerang. ### 5. Pasang 3.0.124 dari sumber resmi Unduh versi bersih dengan masuk langsung ke rankmath.com. Rank Math menegaskan mereka **tidak pernah mengirim link login atau unduhan lewat email**. Email berisi "patch darurat Rank Math" justru patut dicurigai sebagai phishing yang menunggangi insiden ini. Terakhir, pantau beberapa hari ke depan: apakah file yang sudah dihapus muncul lagi, dan apakah ada koneksi keluar ke domain asing. Kalau muncul lagi, berarti masih ada pemicu yang tertinggal. Panduan lengkap untuk kasus seperti ini ada di [cara membersihkan malware WordPress](https://nivelva.com/insight/cara-membersihkan-malware-wordpress-kehilangan-data). ## Pelajaran untuk pengelola WordPress Kasus ini menunjukkan bahwa plugin berbayar dari vendor resmi pun bisa jadi pintu masuk. Insiden serupa juga menimpa pengguna UpdraftCentral pada bulan yang sama, dibahas di [kunci UpdraftCentral dicuri](https://nivelva.com/insight/kunci-updraftcentral-dicuri). Beberapa kebiasaan yang membantu: - Simpan backup harian di lokasi terpisah dengan riwayat minimal beberapa minggu, supaya ada titik restore sebelum kejadian. - Untuk situs penting, uji pembaruan plugin di staging dulu dan jangan langsung menerima pembaruan otomatis di hari rilis. - Pantau daftar admin dan perubahan file inti secara berkala. - Batasi koneksi keluar dari server web bila memungkinkan, supaya backdoor sulit "menelepon pulang". ## Pertanyaan yang sering diajukan ### Saya memakai Rank Math versi gratis, apakah perlu khawatir? Tidak. Menurut Rank Math dan BleepingComputer, versi gratis dari WordPress.org tidak terdampak. Hanya Rank Math PRO 3.0.123 yang diunduh dari situs Rank Math pada rentang waktu tersebut. ### Apakah cukup update ke 3.0.124? Tidak bila 3.0.123 sempat aktif. Backdoor bisa membangun dirinya kembali dan meninggalkan akun admin serta file di luar folder plugin. Hapus folder plugin, bersihkan sisa backdoor atau restore backup, ganti kredensial, baru pasang 3.0.124. ### Bagaimana tahu situs saya sempat menerima versi 3.0.123? Lihat riwayat pembaruan atau log server di sekitar 15 sampai 16 Oktober 2026, lalu cari indikatornya: file wp-includes/class-wp-cache-util.php, admin berawalan wpsupport_, dan koneksi ke rank1cdn.com. ### Berapa situs yang terdampak? Per 12 November 2026 Rank Math belum mengungkap jumlahnya dan hanya menyebut jumlah pengguna yang terbatas. ## Sumber - - - --- Diterbitkan oleh Nivelva Insight (https://nivelva.com/insight/). Artikel ini: https://nivelva.com/insight/rank-math-pro-3-0-123-backdoor Kontak Nivelva: WhatsApp https://wa.me/6285111245007, email hello@nivelva.com